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A. Einleitung 


Zu niemandem ist man ehrlicher als zum Suchfeld von Google. 
— Constanze Kurz, Sprecherin des Chaos Computer Clubs 


Nicht erst bei Beginn der Forschung im Rahmen der Dissertation im April 2017 
zeichnete sich am digitalen wie juristischen Horizont ein Wandel ab. Zumin- 
dest kann sowohl mit den Snowden-Veröffentlichungen im (öffentlich-rechtlichen) 
Geheimdienstbereich seit Mai/Juni 2013! als auch mit Beginn des Zeitalters von 
Big Data — das mangels festen Zeitpunkts eher als Prozess zu begreifen ist — 
für den privaten Bereich angenommen werden: Kein Datum ist mehr „belang- 
los“, keine Verknüpfung mehr unmöglich. Jedes Datum kann potentiell zu neuen 
Schlussfolgerungen führen, wenn auch in ferner Zukunft und in Kombination erst 
dann entstandener Daten. Zu diesem Schluss trägt auch die stetige Vernetzung der 
Welt, die zunehmende Geschwindigkeit der Datenübertragung und wachsende 
Speicherkapazitäten bei. Datenqualität und -quantität sind damit von signifikan- 
ter Bedeutung geworden. 


Diese Entwicklung endet jedoch nicht mit Einführung von Datenschutz und Daten- 
sicherheit als Gegenstände der Rechtswissenschaften, wenngleich die mit Geltung 
der Datenschutzgrundverordnung ab dem 23. Mai 2018 befürchtete Abmahn- 
Welle? zunächst ein härteres, strengeres und durchgreifendes Datenschutzrecht 
versprach. Vielmehr gibt es einen Rahmen und Instrumente, die den brachlie- 
genden Schutz der digitalen Identität teilweise erst aufzeigten. Die Verpflichtung 


1 Exemplarisch hierzu die chronistische Aufarbeitung von Constanze Kurz und Frank Rieger mit 
dem Titel „Now you know. Vier Jahre Snowden“, abrufbar unter https://www.nowyouknow.eu/. 
2 Exemplarisch Baumgartner! Sitte, ZD 2018, 555 ff. 
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der Diensteanbieter aus Art. 33, 34 DSGVO zur Meldung von Datenlecks und 
abhandengekommenen Daten führte erst zum Bekanntwerden von Schutzlücken 
bei uber”, DomainFactory* und Facebook?. Während im Jahr 2018 die Bericht- 
erstattung vom Cambridge-Analytica-Skandal® dominiert wurde, begann 2019 
mit der Veröffentlichung zahlreicher persönlicher bzw. personenbezogener Daten 
von Abgeordneten und Prominenten durch den Hacker g0d’ auf öffentlich zu- 
gänglichen Plattformen über Links zu öffentlich zugänglichen Repositories auf 
Twitter. Die Entwicklung des Big Data kulminierte folglich darin, dass auch in 
den dunkleren Ecken des Internets das Zeitalter von Big Data begonnen hatte und 
dies zunehmend wahrnehmbar wurde in Alltag und Öffentlichkeit. 


Kurzum: Allerorts im Internet befinden sich personenbezogene Daten, oder zu- 
mindest solche, die es werden können, die jedoch vereinzelt keinem (effektiven) 
Schutz unterliegen. Teilweise ist dies der Fall, wenn die Wirksamkeit geltender 
Normen über Grenzen hinweg nicht verfolgt bzw. durchgesetzt werden kann. 
Schließlich kennt das Internet keine Staatsgrenzen, einmal abgesehen von der 
Möglichkeit des Geofencings®. Ferner sind anonyme Datensätze von keinerlei 
Norm umfasst oder der Umgang und die Verwendungsweise der Daten explizit 
geregelt. Ein Stand der Technik hat sich bislang ebenfalls nicht so etabliert, dass 
er von staatlichen Stellen einheitlich angeboten oder empfohlen wird. Kanäle der 
verschlüsselten E-Mail-Kommunikation sucht man vergebens, auch wenn diese 


3 Siehe die Pressemitteilung von uber unter https://www.uber.com/newsroom/2016-data-incid 
ent/. 

4 Hierzu  https://www.heise.de/newsticker/meldung/Datenleck-bei-Domainfactory-Hacker-kna 
ckt-Systeme-laesst-Kundendaten-mitgehen-4102881.html. 

5 Siehe _ https://www.heise.de/newsticker/meldung/Fast-50-Millionen-Facebook-Nutzer-von 


-Hacker- Angriff-betroffen-4178529.html. 

6 Siehe hierzu  https://netzpolitik.org/2018/wie-facebook-betroffene-ueber-den-datenfluss-a 
n-cambridge-analytica-informiert/; https://www.nytimes.com/2018/03/17/us/politics/cambri 
dge-analytica-trump-campaign.html. 

7 Dazu nur https://www.heise.de/newsticker/meldung/Massen-Doxxing-Beschuldigter-soll-Pa 
sswoerter-teilweise-im-Darknet-gekauft-haben-4270379.html. 

8 Zum Begriff Franck/Müller-Peltzer, K&R 2016, 718 (718 f). 


I. Gegenstand und Ziel dieser Arbeit 


nunmehr durch die Datenschutz-Konferenz empfohlen werden’. Ferner sind Plä- 
ne wie die sichere elektronische Patientenakte, ebenfalls ein digitales Persönlich- 
keitsabbild, sowohl rechtlich!” als auch technisch!! auf unsicherem Fundament 
gebaut. Der Begriff „Datenschutzland Deutschland“ ist in dieser Hinsicht wohl 
als futurologischer Fehlschluss zu begreifen. 


l. Gegenstand und Ziel dieser Arbeit 


Mit Blick auf die beschriebene Lage war es nur eine Frage der Zeit, bis die 
Digitalisierung in diesem Punkt auch rechtswissenschaftlich betrachtet wird. Der 
einst vom Bundesverfassungsgericht geformte Begriff des Persönlichkeitsprofils!?, 
welcher später im Bundesdatenschutzgesetz seine Konkretisierung fand, bedarf 
aufgrund der beschriebenen Entwicklung einer Überprüfung. Während dieser 
Begriff bislang an das personenbezogene Datum gebunden war, stellt sich die 
Frage, ob bei Allgegenwärtigkeit von und einfachem Zugang zu Datensätzen noch 
ein Personenbezug einwandfrei festgestellt werden kann oder ob der Begriff mit 
zunehmender digitaler Vermessung der Welt und des Menschen verschwimmt. 
Zu diesem Zweck wird der in der Rechtswissenschaft nur selten diskutierte, wohl 


aber von Marit Hansen’? 


erstmals manifestierte Begriff der digitalen Identität 
aufgegriffen und mit Leben gefüllt. Hauptgegenstand und Ziel dieser Arbeit ist 
daher zum einen die Definition der digitalen Identität. Mit der dann gefassten 


Definition soll sich dem zweiten Komplex der Frage gewidmet werden: Ob und 


9 Datenschutzkonferenz des Bundes und der Länder, Maßnahmen zum Schutz personenbezogener 
Daten bei der Übermittlung per E-Mail, insbesondere S. 7 ff. 

10 Zu den verfassungsrechtlichen Anforderungen im Einzelnen Schneider, Einrichtungsübergrei- 
fende elektronische Patientenakten, S. 82 ff, insbes. die offen bleibenden Fragen einer nationalen 
Umsetzung auf S. 539. Vgl. zur elektronischen Gesundheitskarte Ebersbach, DSB 2013, 272 
ff. 

11 Hierzu anschaulich der Vortrag von Tschiersich „All Gesundheitsdaten Are Belong To Us“ auf 
dem 35c3, abrufbar unter https://media.ccc.de/v/35c3-9992-all_your_gesundheitsakten_are_b 
elong_to_us. 

12 BVerfGE 65, 1 (17); 120, 274 (305); Beschluss vom 6.11.2019, Az. 1 BvR 16/13, Rn. 103 = 
K&R 2020, 51 (54). 

13 Hansen/Meints, DuD 2006, 543 ff. 


A. Einleitung 


wie ist die digitale Identität im Sinne dieser Arbeit von geltendem Verfassungsrecht 
und seiner Konkretisierung umfasst? 


Beide Kernpunkte sollten abschließend aufzeigen, welches Schutzniveau bereits 
exisitiert. Die Arbeit soll Lücken aufzeigen, aber auch tradierte Gedanken auf 
ein modernes Niveau heben und sie auf ihre Bestandskraft prüfen. Sie gleicht 
damit einem Stresstest für das Grundrecht auf informationelle Selbstbestimmung, 
das personenbezogene Datum im Datenschutzrecht oder die IT-Sicherheit des 
Grundrechtsträgers. Der Status Quo ist jedoch nur soweit interessant, wie er bereits 
beschrittenes Terrain des Neulands als Lehren des Status Quo Ante abbildet. 
Damit verbleibt diese Untersuchung zuletzt nicht nur bei Feststellungen, sondern 
gibt Ausblick auf den Status Futurus der digitalen Identität. 


ll. Gang der Untersuchung 


Um den ersten Komplex und die Definition der digitalen Identität umzusetzen, 
widmet sich die vorliegende Untersuchung diesem Begriff zunächst deskriptiv, 
was auch auf die mangelnde juristische Literatur zur Thematik zurückzuführen 
ist. Daher wird zunächst inter- wie intradisziplinär auf Bruchstücke der Definition 
zurückgegriffen, um einzelne Merkmale der digitalen Identität herauszubilden. 
Sie dienen dann als Fixpunkte für die weitere Untersuchung und begrenzen den 
Untersuchungsgegenstand in zeitlicher wie sachlicher Hinsicht. Insbesondere ist 
darzustellen, ob und wie neben natürlichen Personen auch juristische Personen im 
Sinne des Art. 19 Abs. 3 GG als gekorene Grundrechtsträger eine digitale Identität 
innehaben können. Zusätzlich ist der Begriff noch zu künstlichen (virtuellen) 
Identitäten abzugrenzen. 


Anschließend bedarf es einer Erläuterung der verfassungsrechtlichen Schutzkon- 
zepte in Bezug auf die digitale Identität und die bereits leicht umrissenen grund- 
rechtlichen Aspekte. Dies ist insofern notwendig, um die digitale Identität als No- 
vum im Grundrechtsgefüge einzuordnen und abstrakt mögliche Schutzrichtungen 


II. Gang der Untersuchung 


aufzuzeigen. Mithin dienen die Erläuterungen als Grundlage für das anschließende 
Kapitel. 


Demgemäß sind die abstrakten Schutzaspekte zu konkretisieren, um besagten Sta- 
tus Quo abzubilden und Schutzlücken sowie „Updates“ vorzunehmen. Dabei ist al- 
lerdings zwischen den eingangs herausgebildeten potentiellen Grundrechtsträgern 
zu unterscheiden, wo sich entsprechend dem Naturell auch unterschiedlich typi- 
sche Grundrechtskonstellationen bzw. Gefährdungslagen ergeben. So ist für natür- 
liche Personen das Grundrecht auf informationelle Selbstbestimmung der Kern der 
Untersuchung, während für juristische Personen im Sinne des Art. 19 Abs. 3 GG 
vielmehr unternehmenstypische Grundrechte wie die Berufsfreiheit des Art. 12 
Abs. 1GG in Betracht kommen. Dennoch ist darzustellen, ob nicht einzelne Aspek- 
te der digitalen Identität durch das Unternehmenspersönlichkeitsrecht geschützt 
sein könnten und inwiefern sich dies von der bisherigen Debatte um ein unterneh- 
merisches Datenschutzrecht als Teil des Allgemeinen Persönlichkeitsrechts unter- 
scheidet. Diese Untersuchung auf informationell-datenschutzrechtlicher Ebene ist 
um die technische Betrachtungsweise zu erweitern, sodass selbige Grundrechte 
auf ihren systembezogenen Schutz für natürliche und juristische Personen hin zu 
überprüfen sind. 


Abschließend ist sich nach einer Conclusio des Kerns der Untersuchung über- 
blickshaft dem einfachgesetzlichen Schutz de lege lata zuzuwenden und durch 
beabsichtigte Verbesserungen de lege ferenda zu erweitern. Auch die Möglichkeit 
der Verfassungsänderung am Beispiel der Charta der Digitalen Grundrechte ist 
zu untersuchen. Ferner wird auch zu fragen sein, ob bestehende Standards und 
Regelungswerke — verfassungsrechtlich wie einfachgesetzlich konkretisiert — zum 
Schutz der digitalen Identität in der Zukunft ausreichen. 
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Sämtliche Informationen, die ein Mensch in seinem Leben sammelt, 
sind wie ein Tropfen im Ozean. 
— Masamune Shirow, „Ghost In The Shell“ 


Inter- und intradisziplinäre Begriffsklärung 


Grundlegend ist für den Gang der Untersuchung erforderlich, die Begrifflichkeit 


der „Digitalen Identität‘ zu definieren. Rein terminologisch ist sich mangels klarer 


Definition durch Literatur! oder Rechtsprechung" zunächst der analogen Iden- 


tität interdisziplinär zuzuwenden und sodann aus einem digitalen, technischen 


Blickwinkel zu analysieren. Auf diesem Weg soll „die Unschärfe offengelegt und 


Vgl. zur Menschenwürde etwa Isensee in: Merten/Papier, HGr IV, $ 87, Rn. 1; Kloepfer, VerfR 
II, $ 55, Rn. 4; Zippelius in: Kahl/Waldhoff/Walter, BonnK GG, Art. 1 I und I GG, Rn. 15: „gro- 
Be Unschärfe“. Nur Ansätze aufzeigend Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, 
Band I, Art. 2, Rn. 114: „Personenbezogene Daten spiegeln ein Stück der Persönlichkeit des 
Menschen wider, die durch Datenerfassung, -verarbeitung usf. beeinträchtigt wird.“ Technisch 
dagegen Strauß, DuD 2018, 497 (498 f). Lediglich die Begrifflichkeit erwähnend Stucken- 
berg, ZIS 2016, 526 (528). 

So äußert sich das BVerfG bislang nur verhalten und beschreibt im Rahmen der E 6, 32 (36), 
dass der Kernbereich der Persönlichkeit im Wesen des Menschen als geistig-sittliche Person 
bestehe. Diese — so E 88, 203 (251 f) — weise eine (genetische) Identität auf, welche einmalig 
und unverwechselbar sei und sich stetig entwickle. Der Mensch habe sich „nicht erst zum 
Menschen, sondern als Mensch entwickelt“. An einer ausdrücklichen Definition der Identität, 
beispielsweise auf Ebene des Allgemeinen Persönlichkeitsrechts, fehlt es jedoch weiterhin. 
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produktiv genutzt werden“!®. Dem Präfix „digital“ kommt dabei nur ein einschrän- 
kender, deskriptiver Charakter zu. Dadurch wird der Fokus auf eine bestimmte 


Teilmenge des allgemeinen Identitätsbegriffs auch terminologisch abgebildet.!7 


1. Analoge und philosophische Ansätze 


Als Identität einer Person (in der analogen Welt) wird jener Teil bezeichnet, 
welcher eine Vielzahl charakteristischer Wesenszüge beinhaltet, die besonders 
kennzeichnend sind und so das Wesen eines Menschen einzigartig machen. Ab- 
geleitet aus dem lateinischen Wort idem, stehend für derselbe/dasselbe,'® bezieht 
es sich terminologisch dagegen auf „das Gleiche“ — also entgegen der beschrie- 
benen Diversität der Wesensmerkmale. Diese Gleichheit greift jedoch nicht die 
Beziehung zwischen Personen auf, sondern die fortwährende Betrachtung der 
Person selbst. Obschon sich die Person in ihrem Wesen von anderen unterscheidet 
und verändert, handelt es sich dennoch um die „gleiche“ (exakter: dieselbe)!’ 
Person im materiellen Sinne. Gemeint ist also vielmehr eine surjektive Beziehung 
zwischen einer Menge von Eigenschaften und der betrachteten Persönlichkeit.” 
So Platon: „Denn selbst solange man auch von jedem einzelnen unter den le- 
benden Wesen sagt, es lebe und sei dasselbe so wie man von Kindesbeinen auf 
derselbe genannt wird bis zum Alter. — so wird ihm diese Bezeichnung doch nur 
dem zum Trotze gegeben, daß man niemals dieselben Teile in sich faßt, sondern 


sie beständig erneuert und wieder abwirft: so Haare, Fleisch, Knochen, Blut und 


16  Hornung/Engemann, Einleitung, S. 11. 

17 Vgl. Hornung/Engemann, Einleitung, S. 11 (12); Kalscheuer/Jacobsen, NJW 2018, 2358 
(2358). 

18 Siehe Duden: http://www.duden.de/rechtschreibung/Identitaet. 

19 Ebenso Meyer, Virtuelle Identität, S. 24 f. 

20 Zumindest kann diese nur vereinzelt bijektiv sein. Bijektivität setzt voraus, dass jeder Person 
genau eine Eigenschaft zugeordnet werden kann, vergebene Eigenschaften letztlich nicht erneut 
anderen Personen zugeordnet werden können. Dies ist beispielsweise bei biologischen bzw. 
genetischen Faktoren wie dem Fingerabdruck oder der DNA der Fall. Surjektivität dagegen 
meint, dass jedem Wert X — also jeder Person — mindestens ein Wert der Menge Y - also der 
Menge an Eigenschaften — zugeordnet werden kann. Dies trifft z.B. auf das Geburtsdatum zu. 
Zu den einzelnen Begriffen siehe Forster, Analysis I, S. 91. Vgl. auch Kochheim, Cybercrime 
in IuK, Rn. 482. 


I. Inter- und intradisziplinäre Begriffsklärung 


überhaupt den gesamten Körper. Und nicht bloß mit dem Körper steht es also, 
sondern auch in der Seele bleiben der Charakter, die Gewohnheiten, Meinungen, 
Begierden, Freude, Schmerz, Furcht, in einem jeden niemals dieselben, sondern 
das eine von ihnen ist erst im Entstehen, während das andere schon wieder im 
Vergehen begriffen ist?! Es war also auch in der Philosophie ersichtlich, in wel- 
chem Umfang die Identität das Innere des Menschen bzw. die Seele einnimmt, 
dieser möglicherweise sogar entspricht. 


2. Psychologische Ansatzpunkte 


Ganz ähnliche Betrachtungen finden sich in psychologischer Hinsicht: In der Ent- 
wicklungspsychologie wird unter der Identität unter anderem das „Ergebnis“ des 
Vorgangs verstanden, in dem das Individuum seine Persönlichkeit unter Einbe- 
ziehung der bekannten Normen und Werte, des Gelernten und Erlebten und die 
Einflüsse weiterer Umweltfaktoren verarbeitet und entwickelt. Sie besteht damit 
nicht nur aus Fakten wie Name, Adresse und Geburtsdatum, sondern auch aus 
Persönlichkeitsattributen, Fähigkeiten und Werten, mit denen sich eine Person 
definiert bzw. identifiziert und interpretiert — ist also nicht unbedingt von Geburt 
an vorhanden. In diesen Prozess fließen mithin Entscheidungen und deren Folgen 
ein.” Folglich richtet sich auch das Tun und Sein einer Person immer wieder neu 
aus. Daraus ergibt sich jedoch erst die Abgrenzbarkeit von anderen Individuen, 
sodass jeder Mensch einzigartig und unverwechselbar wird — oder zumindest da- 
nach strebt.?? Einfluss auf diesen Prozess der Individualisierung nimmt darüber 
hinaus auch die Außenwelt, mit welcher es durch stetigen Ausgleich und fortwäh- 
rende Anpassung in Relation steht.”* Aus dem Wechselspiel von Gleichheit und 
Diversität ergibt sich also eine Doppelnatur, welche durch die Arbeit an und mit 


21 Platon, Das Gastmahl (Symposion), S. 127 f. Kursive Hervorhebung nicht im Original enthalten. 

22 Roesler, Identitätskonstruktion, S. 7 f, Doring, Sozialpsychologie im Internet, S. 325; Boh- 
ley, Identität: Wie sie entsteht und warum der Mensch sie braucht, S. 10 f sowie zur Entstehung 
im Detail S. 43, 45 f. 

23 Wicki, Entwicklungspsychologie, S. 117 ff; Keupp in: Spektrum, Lexikon der Psychologie, 
Begriff Identität, Abschnitt „Begriff“; Roesler, Identitätskonstruktion, S. 5. 

24 Bleuler, Schizophrenie als besondere Entwicklung, S. 19. 
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der Identität geprägt wird. Gerade dieser Balanceakt ist kennzeichnend für die 
Identitätsarbeit bzw. -konstruktion.”> Insgesamt stellt sich die Identität damit eher 
als Momentaufnahme in einem komplexer Vorgang dar, welcher die Lebensaufga- 
be beinhaltet „die verschiedenen, oft sich widersprechenden inneren Strebungen 
[zu] harmonisieren, so daß [sic] wir ihrer Widersprüchlichkeit zum Trotz ein Ich, 


eine ganze Persönlichkeit werden und bleiben.“® 


3. Juristische Bezugspunkte der Definition 
a) Natürliche Personen 


Anders ist dies in juristischer Hinsicht: Der Begriff der Identität besteht vielmehr 
in Form der Rechte, die einer Person zustehen — sie wird zum Rechtssubjekt. Mit 
dem Begriff der Persönlichkeit, beispielsweise im Sinne des Allgemeinen Persön- 
lichkeitsrechts gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG, ist der Begriff der Identität 
allerdings nicht juristisch gleichzusetzen, obschon sich Schnittpunkte und Kon- 
gruenzen beider Begriffe ergeben.” Mangels Erläuterungen in der Verfassung 


25 So spricht Keupp auch vom Akt sozialer Konstruktion, siehe ders. in: Spektrum, Lexikon der 
Psychologie, Begriff: Identität, Abschnitte „Begriff“ sowie „Identitätsarbeit und Identitätskon- 
struktion“. Am Beispiel der Entwicklung in der Adoleszenz auch Bohley, Identität: Wie sie 
entsteht und warum der Mensch sie braucht, S. 46/47. Vergleichbar kennzeichnet den beschrie- 
benen Prozess auch das Private bzw. die Privatsphäre, welche einen „vielfältig schillernden, 
stofflich komplexen, mitunter inkonsistenten, kulturell mehr oder weniger tief verankerten, 
kontextabhängigen und entwicklungssensiblen Aspekt der conditio humana“ darstellen — so 
Horn in: Isensee/Kirchhof, HStR VI, $ 149, Rn. 6. 

26 Bleuler, Schizophrenie als besondere Entwicklung, S. 19; vgl. auch Doring, Sozialpsychologie 
im Internet, S. 325. 

27 Während die Identität sich schwerpunktmäßig auf der seelisch-psychischen Ebene bewegt und 
auch das Wechselspiel mit äußeren Reizen einbezieht, meint die Persönlichkeit im juristischen 
Sinne vielmehr das nach außen hin wahrnehmbare Wesen. Dennoch bedingen sich beide Be- 
griffe; sie sind nicht sauber voneinander zu trennen. Dies zeigt sich auch an der Zitierweise 
des Persönlichkeitsrechts: Art. 2 Abs. 1 iVm 1 Abs. 1 GG - Vgl. Stern, StaatsR IV/1, $ 97, S. 
97 f sowie $ 99, S. 185; Höfling in: Sachs, GG, Art. 1, Rn. 37 f; Hufen, Staatsrecht II, $ 10, 
Rn. 14. Die Identität als Schutzrichtung des Persönlichkeitsrechts annehmend Herrmann, ZUM 
1990, 542. Dagegen ablehnend, da keine feste Substanz aufweisend Ladeur in: Götting/Schertz/ 
Seitz, Handbuch des Persönlichkeitsrechts, $ 7, Rn. 8. 
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ergeben sich weitere Kriterien für das Dasein des Rechtssubjekts aus einfach- 
gesetzlichen Regelungen, welche letztlich die Ausgestaltung der Verfassung dar- 
stellen. So beginnt die Rechtsfähigkeit gem. $ 1 BGB bereits mit der Vollendung 
der Geburt. Ab diesem Zeitpunkt ist der Säugling Träger von Rechten und Pflich- 
ten. Es kommt also nicht auf eine tatsächliche Handlungsfähigkeit in juristischer 
Hinsicht an.” Hiervon ist die juristische Handlungsfähigkeit im Sinne der Ge- 
schäftsfähigkeit der $$ 104 ff BGB - also der Fähigkeit, wirksam Rechtsgeschäfte 
abzuschließen und so Rechtsbeziehungen zu anderen Rechtssubjekten einzugehen 
— zu trennen.” Die Fähigkeit, Träger von Rechten und Pflichten zu sein, fußt mit- 
hin nicht auf einer liberalen Weltanschauung des homo oeconomicus°®, sondern 
auf der Menschenwürde-Formel des Art. 1 Abs. 1 GG. Die Rechtsfähigkeit des 
Menschen ist Teil der Würde, ihre Nutzung Ausdruck von Selbstbestimmung und 
freier Entfaltung.°' Sie ist damit zugleich Vorbedingung für die Grundrechte, ins- 
besondere für jene aus Art. 2 Abs. 1 sowie Art. 2 Abs. 1 iVm 1 Abs. 1 GG.” Teil 
der Menschenwürde sind daneben sämtliche identitätsstiftenden und -prägenden 


28 Bamberger/Poseck in: Hau/Poseck, BeckOK BGB, $ 1 BGB, Rn. 10. 

29 Schließlich stellt die Geschäftsfähigkeit die Fähigkeit dar, Rechtsgeschäfte wirksam und selbst- 
ständig vornehmen zu können — Wendtland in: Hau/Poseck, BeckOK BGB, $ 104 BGB, Rn. 
1. 

30  Bezugnehmend darauf, dass der homo oeconomicus unter Kenntnis aller Rechte von Beginn an 
diese gewinnbringend gemäß der Zweck/Mittel-Relation nutzen würde. Vgl. Kirchgässner, Ho- 
mo Oeconomicus, S. 13 ff, 47 f; Eidenmüiller, YZ 2005, 216 (217 f). 

31 Vgl. BVerfGE 45, 187 (227). 

32 Bamberger/Poseck in: Hau/Poseck, BeckOK BGB, $ 1 BGB, Rn. 1; vgl. Kloepfer, VerfR II, 
$ 55, Rn. 23; Zippelius in: Kahl/Waldhoff/Walter, BonnK GG, Art. 1 I und II GG, Rn. 79 
f. Eine naturrechtliche Herleitung der Freiheit bemühend Nipperdey in: Neumann/Nipperdey/ 
Scheuner, Grundrechte II, S. 1 f. 
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Merkmale, wie zum Beispiel der eigene Name’? oder dazugehörige Pseudony- 
me’* sowie Sexualität”, Religiösität°® und die Gedankenfreiheit?’.?® Mehr noch, 
bilden die nachfolgenden Grundrechte in ihrem Charakter als objektive Normen- 


und Wertordnung ein „Menschenbild des Grundgesetzes“? 


, sodass einzelne Teile 
der Identität durch spezielle Grundrechte besonderen Schutz genießen.“ So bildet 
sich unter dem Schutzmantel der objektiven Wertordnung die in einem Menschen 


verkörperte, einzigartige, unauswechselbare und unvertretbare Identität heraus.* 


b) Juristische Personen 


Im Laufe der bereits dargelegten Betrachtung mag der Eindruck entstanden sein, 
dass Rechtssubjekte in verfassungsrechtlicher Hinsicht nur natürliche Personen 
sein können. Dem Eindruck kann jedoch nicht entsprochen werden. Richtet man 
den Blick auf Art. 19 Abs. 3 GG, wonach eine Grundrechtsträgerschaft juristischer 
Personen des Privatrechts grundsätzlich möglich ist, sind auch diese verfassungs- 
rechtlichen Rechtssubjekte in die Untersuchung einzubeziehen.*? Für bestimmte 


33 Vgl. BVerfGE 97, 391 (399). Zum Rufnamen insbesondere Döring, DVBl 2018, 560 (561). 

34 Allerdings nur, soweit sich mit ihnen die Identität und Individualität des Pseudonym-Nutzers 
verfestigt haben - vgl. BVerfG, Nichtannahmebeschluss vom 21. August 2006 — 1 BvR 2047/03 
—, Rn. 15; vgl. auch Kochheim, Cybercrime in IuK, Rn. 492. 

35 Kloepfer, VerfR II, $ 55, Rn. 27. 

36 Zurreligiösen Prägung des Menschenwürde-Begriffs Isensee in: Merten/Papier, HGr IV, $ 87, 
Rn. 55 ff. 

37 Vgl. BVerfG NJW 1982, 375 in Bezug auf Lügendetektoren oder seien es verkörperte Gedanken 
als Tagebuch wie in BVerfGE 80, 367 (373 f). 

38 Zu beachten ist, dass es sich vorliegend nur um eine exemplarische Aufzählung handelt. So- 
wohl Menschenwürde als auch Identität unterliegen einem ständigen Wandel und in einer 
pluralistischen Gesellschaft auch einem immer anders geprägten Verständnis. Eine trennschar- 
fe Einordnung ist danach nicht möglich. — Vgl. Kloepfer, VerfR II, $ 55, Rn. 4. Eine Erläuterung 
versuchend /sensee in: Merten/Papier, HGr IV, $ 87, Rn. 2, 6, 45 ff, ebenso Stern, StaatsR IV/1, 
$ 97, II. 4. b). Weitere identitätsstiftende Merkmale nennend Enders in: Merten/Papier, HGr 
IV, $ 89, Rn. 6 sowie Meyer, Virtuelle Identität, S. 23. 

39 BVerfGE 4, 7 (15 f); 41, 29 (50); Kloepfer, VerfR I, $ 55, Rn. 3 aE. 

40 Vgl. Kloepfer, VerfR I, $ 55, Rn. 78; kritisch zum Verhältnis zu anderen Grundrechten Nip- 
perdey in: Neumann/Nipperdey/Scheuner, Grundrechte II, S. 14 f. 

41 Isensee in: Merten/Papier, HGr IV, $ 87, Rn. 169. 

42 Eine Untersuchung öffentlich-rechtlicher juristischer Personen entfällt vorliegend mangels einer 
Grundrechtsträgerschaft. Zur Unterscheidung sub B.MI.2. 
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Aspekte des Persönlichkeitsrechts kann dies beispielsweise angenommen wer- 
den,*? gegebenenfalls könnte auf Art. 12 Abs. 1 und 14 Abs. 1 GG zurückge- 
griffen werden. Eine detailliertere Prüfung, ob und welche Aspekte der digitalen 
Identität dem verfassungsrechtlichen Schutz unterliegen, wird zu einem späte- 
ren Zeitpunkt vorgenommen.** Hierfür ist allerdings Voraussetzung, dass auch 
juristische Personen eine digitale Identität besitzen bzw. entwickeln können. 


Entsprechend der vorangegangenen Prüfung bedarf es ebenfalls einer analogen 
Identität eines Unternehmens. Schon terminologisch andeutend, bietet sich hier- 
für der Begriff der Corporate Identity an — zu deutsch: Unternehmensidentität. In 
seine Einzelteile zerlegt, verweist der Begriff „Corporate“ zunächst auf die Eigen- 
art der unternehmerischen Identität und so auf die Unterscheidung zur menschli- 
chen Identität. „Identity“ bezieht sich dagegen auf den Identitätsbegriff, welcher 
sich zunächst aus dem bereits dargelegten speist. Kennzeichnend für Unterneh- 
men ist aber nicht der seelisch-emotionale Bezug zur Außenwelt ähnlich des 
Menschenwürde-Aspekts im Rahmen des Persönlichkeitsrechts des Art. 2 Abs. 1 
iVm 1 Abs. 1 GG bei natürlichen Personen*, sondern der Bezug zwischen Unter- 
nehmen und Mitarbeitern. Jeder Mitarbeiter soll sich dem Unternehmen zugehö- 
rig fühlen und die Relevanz des Selbst im „großen Getriebe“ des Unternehmens 
kennen. Um trotz der aufgrund der verschiedenen Mitarbeiter-Persönlichkeiten 
existierenden Diversität eine Einheitlichkeit des Unternehmensbildes unter den 
Mitarbeitern zu schaffen, bedarf es der Formung einer Unternehmenspersönlich- 
keit. Oftmals enthält diese einheitliche Maßstäbe oder Leitlinien zum Denken 


43 — Vorweggenommen sei an dieser Stelle, dass eine Anwendung nach wie vor umstritten ist und 
durch das BVerfG zT abgelehnt wurde — BVerfGE 95, 220 (242); auch Lang in: Epping/ 
Hillgruber, BeckOK GG, Art. 2 GG, Rn. 50. Anders dagegen Gersdorf in: Gersdorf/Paal, Be- 
ckOK InfoMedienR, Art. 2 GG, Rn. 33 f. 

44 Siehe Kapitel D.1.2. 

45 Vgl. BVerfGE 65, 1 (41 f) sowie Gurlit, NJW 2010, 1035 (1036) mwN zum Ausschluss 
der Eigenschaft für juristische Personen: Soweit die informationelle Selbstbestimmung fernab 
der wesensmäßigen Eigenschaften der natürlichen Personen aus Art. 1 Abs. 1 GG anknüpft, 
sondern sich auf unternehmensbezogene Informationen bezieht, ist schwerpunktmäßig die 
informationelle Selbstbestimmung mit ihrem Kern in Art. 2 Abs. 1 GG anwendbar. 
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und Handeln sowie den Leistungen des Unternehmens. Indem sie durch die 
Mitarbeiter gelebt und repräsentiert bzw. in (Re-)Präsentationen des Unterneh- 
mens (z.B. Werbung, öffentlichkeitswirksame Präsentationen, etc) berücksichtigt 
werden, bilden sich die abstrakten Merkmale und Attribute der Unternehmens- 
richtlinien in der Unternehmenspersönlichkeit aus. Die Kernfragen der Identität 
— Wer bin ich? Wer möchte ich sein? Wie werde ich wahrgenommen? —, aus de- 
nen sich die Antworten und somit die Unternehmensidentität ergeben,” stimmen 
daher spiegelbildlich mit denen der menschlichen Identitätskonstruktion überein. 
Anstatt Aussagen mit möglicherweise seelisch-moralischem Ursprung entwickeln 
Unternehmen zum Herausstellen der Einzigartigkeit des Unternehmens bestimm- 
te Kennzeichen (z.B. Jingles/Tonmarken, Logos, Werbefiguren, Designs, Düfte) 
oder ein bestimmtes Image, um die o.g. Fragen zu beantworten. Insofern be- 
steht ein Zusammenhang mit dem „Inneren“ des Unternehmens nicht aufgrund 
einer Würde iSd Art. 1 Abs. 1 GG, sondern eher um Aspekte der Zielgruppe des 
Unternehmens widerzuspiegeln oder Unternehmenszwecke nach Außen zu brin- 
gen.*® Der Firmenkern*” und die damit verknüpften Merkmale des Unternehmens 
als Teil des Corporate Designs” dienen folglich als Pendant zum menschlichen 
Persönlichkeitskern. 


Zweck der Corporate Identity ist des weiteren die Differenzierung von und Profi- 
lierung gegenüber anderen Unternehmensidentitäten in der Außenwirkung.°! Als 
Indiz hierfür lässt sich $ 18 HGB anführen, welcher ausdrücklich die Unterschei- 
dungskraft des Firmennamens zum Zwecke der Individualisierung benennt.’? Dies 
lässt auf Parallelen zum Wechselspiel im Außenverhältnis bei der menschlichen 


46 Herbst, Corporate Identity, S. 28 f, Kiessling/Spannagl, Corporate Identity, S. 12; Quante, Das 
allgemeine Persönlichkeitsrecht juristischer Personen, S. 94 f; vgl. auch Regenthal, Ganzheitli- 
che Corporate Identity, S. 18 f sowie Abb. 3 auf S. 25. 

47 Herbst, Corporate Identity, S. 28; vgl. Kiessling/Spannagl, Corporate Identity, S. 16 f. 

48 Vgl. zu Corporate Behaviour und Corporate Communications Kiessling/Spannagl, Corporate 
Identity, S. 18 ff. 

49 Vgl. Merkt in: Baumbach/Hopt, HGB, $ 18 HGB, Rn. 8. 

50  Kiessling/Spannagl, Corporate Identity, S. 32 f. 

51 Herbst, Corporate Identity, S. 34 f; als Wiedererkennungswert beschreibend Kiessling/ 
Spannagl, Corporate Identity, S. 34. 

52 Vgl. Merkt in: Baumbach/Hopt, HGB, $ 18 HGB, Rn. 4 f. 
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Identität schließen. So kann sich durch die unternehmerische Beziehung zur Au- 
ßenwelt auf dem Markt zunächst die Identität aus den Interessen des Marktes 
generieren. Zugleich aber wirkt der stetig verändernde Markt auch in Zukunft 


t. Dies wird zum Bei- 


auf die Unternehmensidentität ein und prägt diese mi 
spiel bei einer Veränderung einer Marke trotz (teilweise) gleichbleibender Werte 
der Corporate Identity deutlich.”* Mit dem Fortschritt und der Entwicklung der 
Ansichten und Interessen innerhalb einer Gesellschaft geht oftmals ein Wandel 
des Unternehmensbildes einher, um weiterhin die Interessen der Konsumenten 
abdecken zu können. Auf diese Weise entsteht auch hier ein Wechselspiel aus den 
verschiedenen inneren - innerhalb des Unternehmens zwischen den Mitarbeitern 
— und äußeren — aus den verschiedenen Interessen von Markt und Unternehmen 
— Einflüssen." Resultat dieses Prozesses ist sodann eine Corporate Identity, wel- 
che aufgrund der Nähe zum Menschen wiederum selbst nahezu menschenähnlich 
wird. Dies ergibt sich schon aus dem Offensichtlichen; Unternehmen bestehen aus 
einer Vielzahl an Menschen und Persönlichkeiten. Aber auch aus den identitäts- 
bildenden Fragen ergeben sich Attribute oder Merkmale, welche üblicherweise 
Menschen zuzuordnen sind. Unternehmen sind „cool“, „sexy“ oder „konserva- 
tiv“ und „traditionsbewusst“.’° Grund hierfür ist wiederum die Beziehung zum 
Kunden im Außenverhältnis, damit sich der Kunde mit den Werten der Corporate 
Identity identifiziert;”’ Marken und Produkte des Unternehmens werden „perso- 
nalisiert‘‘“®. Unter anderem soll im Unternehmen auch der beste Freund gesehen 
werden” oder als Unternehmen, das sich besonders für die Rechte von sog. 


53 So auch BVerfGE 105, 252 (278). 

54 Hierzu Herbst, Corporate Identity, S. 42 f am Beispiel des BMW-Logos. Weitere Gründe für 
eine Modernisierung der Corporate Identity können auch eine Änderung des Aufgabenprofils 
oder eine generelle (auch personelle) Umstrukturierung sein - siehe Kiessling/Spannagl, Cor- 
porate Identity, S. 45 f. 

55 Diesen Prozess beschreibend siehe Regenthal, Ganzheitliche Corporate Identity, S. 14 f sowie 
schematisch Abb. 6 auf S. 29. 

56 Herbst, Corporate Identity, S. 35; Kiessling/Spannagl, Corporate Identity, S. 33. 

57 Herbst, Corporate Identity, S. 70; Kiessling/Spannagl, Corporate Identity, S. 41; Korneeva, Das 
Persönlichkeitsrecht des Unternehmens, S. 139. 

58 Meissner, Persönlichkeitsschutz juristischer Personen im deutschen und US-amerikanischen 
Recht, S. 159. 

59 Herbst, Corporate Identity, S. 35. 
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Core-Gamern einsetzt‘. Hinzu tritt die Möglichkeit, dem Unternehmen durch 
bestimmte Handlungsweisen der Unternehmenspersönlichkeit Emotionen zu ver- 
leihen bzw. mit diesen Emotionen bei Kunden hervorzurufen. Dies kann, um nur 
einige Methoden zu nennen, durch die persönliche Ansprache der Mitarbeiter‘! 
(Nähe, Freundschaft, Familie, Sicherheit) oder vorgeschriebene formelle Klei- 
dung (Autonomie, Elite, Stolz, Ruhm) bewirkt werden.” Berücksichtigt man nun 
das bereits zur analogen Identität des Menschen Gesagte, werden die Parallelen 
sichtbar, sodass nach der hier vertretenen Ansicht auch Unternehmen eine Iden- 
tität iSe Unternehmenspersönlichkeit zugesagt wird.°° Diese kann, wie sogleich 
erläutert, auch unter Nutzung neuer Kommunikationsmedien wie Nutzerkonten 
in sozialen Netzwerken®* um entsprechende Komponenten erweitert werden und 
sich so in digitaler Form manifestieren. 


c) Datenschutzrecht und Identitätsmanagement 


Nutzt eine natürliche oder juristische Person informationstechnische Systeme jeg- 
licher Art, überträgt sie ihre individuelle Nutzungsweise und weitere Merkmale 
der analogen Identität in die digitale Welt. In dieser technischen, digitalen Welt fin- 
det sich das dargestellte Konzept der menschlichen Identität als Ganzes hingegen 
nur bedingt wieder. An keinem öffentlich zugänglichen (Speicher-)Ort befindet 


60 _ Bezugnehmend auf den Werbeslogan „This is for the players.“, mit welchem Sony die haus- 
eigene Videospielkonsole bewarb. Der Solgan richtet sich hauptsächlich an Videospieler mit 
langjähriger Videospiel-Vergangenheit und entsprechender Erfahrung (sog. Core Gamer), um 
sich von anderen Videospielkonsolen-Anbietern wie Nintendo, welche hauptsächlich familien- 
freundliche Videospiele vertreiben, abzugrenzen. 

61 Hierzu auch Regenthal, Ganzheitliche Corporate Identity, S. 25: „Das direkte persönliche 
Ansprechen bringt eine starke Bewusstmachung und Motivation.“ 

62 Vgl. Herbst, Corporate Identity, S. 52 f. 

63 Dieser Ansicht ebenso Meissner, Persönlichkeitsschutz juristischer Personen im deutschen und 
US-amerikanischen Recht, S. 159 ff. 

64 Hierzu Schwartmann/Ohr in: Schwartmann, Praxishandbuch Medien-, IT- und Urheberrecht, 
$ 11, Rn. 229 ff. Beachtenswert ist, dass Schwartmann/Ohr hierbei darauf hinweisen, dass die 
Ausbildung der digitalen Identität auch ohne Einfluss des Unternehmens vonstatten gehen kann 
— beispielsweise durch Bewertungsportale oder die öffentliche Diskussion in den Medien — und 
eine Nutzung der Plattformen notwendig ist. 
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sich die (vollständige) digitale bzw. digitalisierte Identität einer Person. Stattdes- 
sen entsteht bei jedem neuen Benutzerkonto oder jedem neuen Gerät eine neue 
Variation der digitalen Identität — auch bezeichnet als Teilidentität —, sodass eher 
von einer Vielzahl von digitalen Identitäten je analoger Identität auszugehen ist. 
Eine nahezu vollständige digitale Identität kann folglich nur durch Akkumulation, 
Analyse und Verkettung großer Datenmengen gewonnen werden.‘ Demnach kön- 
nen im Folgenden nur Teilidentitäten als einzelne Fragmente der digitalen Gesamt- 
Identität mit dem Begriff der digitalen Identität bezeichnet werden. Mehr noch, 
wird diese Sichtweise durch die Ansicht der Persönlichkeit als facettenreiches und 
individuelles Wesen gestützt, dadurch die Ausübung der Persönlichkeitsrechte der 
Grundrechtsträger selbst bestimmt, wie er sich darstellt und welche einzelnen Fa- 
cetten er in die jeweilige digitale Identität einbringen will.’ Es entstehen so nicht 
immer wieder gleiche Kopien ein und desselben Egos, sondern einzelne Spiel- 
arten, die nicht notwendigerweise einen Bezug zur Realität haben müssen.°® So 
können beispielsweise gerade scheue oder introvertierte Persönlichkeiten im digi- 
talen Raum gegensätzlich auftreten, da ihnen der Deckmantel der Pseudonymität 
und Anonymität gemäß Art. 2 Abs. 1 iVm 1 Abs. 1 GG sowie § 3a BDSG a.F. bzw. 


65 So auch Camenisch/Leenes/Sommer, Digital Privacy, S. 35 f, Hornung/Engemann, Einleitung, 
S. 11 (13); Kühnl, Persönlichkeitsschutz 2.0, S. 20 f, Pfitzmann/Borcea-Pfitzmann in: Roßna- 
gel, Allgegenwärtige Identifizierung?, S. 83 (84/85); Strauß, DuD 2010, 99 (100). Vgl. ebenfalls 
Kochheim, Cybercrime in IuK, Rn. 482, 494; Petrlic/Sorge, Datenschutz, S. 12; BITKOM, Web 
Identitäten, S. 6 f; Herrmann/Federrath, Unbemerktes Tracking im Internet: Unsere uner- 
wünschte Identität, S. 131 (132 f); Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, 
Band I, Art. 2, Rn. 114. In psychologischer Hinsicht auch Doring, Sozialpsychologie im In- 
ternet, S. 325 f, 346 sowie im Detail zur Aktivierung verschiedener Identitäten S. 354 ff. 
Andeutend auch BVerfG, Beschluss vom 6.11.2019 - Az. 1 BvR 16/13 —, Rn. 103. 

66 Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein, Verkettung digitaler Iden- 
titäten, S. 22 f sowie zum Vorgang der Verkettung S. 26 f. Die Erstellung einer vollständigen 
digitalen Identität ist gewissermaßen die Aufgabe von „Big Data“ — vgl. Hoeren, Big Data und 
Recht, S. 3 ff; Humer, Identitätsarbeit in digitalen Systemen, S. 158; Albrecht/Jotzo, Das neue 
Datenschutzrecht der EU, $ 3, Rn. 3. 

67 Camenisch/Leenes/Sommer, Digital Privacy, S. 35, 36 f, BITKOM, Web Identitäten, S. 4, 6 f; 
Meyer, Virtuelle Identität, S. 52 f; vgl. Isensee in: Merten/Papier, HGr IV, $ 87, Rn. 7. 

68 So auch Humer, Identitätsarbeit in digitalen Systemen, S. 149 f sowie vgl. Humer, Digitale 
Identitäten, S. 132 f. 
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Art. 4 Nr. 5 DSGVO, $ 46 Nr. 5 BDSG die Freiheit der Meinungsäußerung ohne ei- 
ne Prangerwirkung gewährt wird.° Die Unternehmenspersönlichkeit juristischer 
Personen basiert mithin auf der Ausgestaltung der einzelnen Facetten ohne Rea- 
litätsbezug, sodass für deren Betrachtung eine derartige Sichtweise unschädlich 
ist. Auch wenn die digitalen Identitäten der einzelnen Mitarbeitern folgerichtig 
isoliert betrachtet werden können, ergibt sich aus der Gesamtheit an Attributen 
in Verbindung mit Charakteristika der Außenkommunikation ein eigenständiges 
Bild. 


Zusammengefasst stellt sich die erwähnte surjektive/injektive Beziehung zwi- 
schen der Gesamtheit aus Eigenschaften, Attributen, etc. und der Persönlichkeit 
dar. Per definitionem sind digitale Identitäten daher, orientiert am ursprünglich 
technischen Begriff aus dem Identitätsmanagement in informationstechnischen 
Systemen,” als Sammlung digitaler Informationen bezüglich eines Nutzers von 
Informationssystemen zu definieren.’! Unter letzteres sind regelmäßig Dienstleis- 
tungen der Telekommunikation (bspw. Übertragungsleistung und dazu erforderli- 
che IP-Vergabe) sowie in Form von Telemedien (Apps, Webseiten, etc.) gefasst. 
Der Nutzer, gleich ob natürliche oder juristische Person,” bedient sich hierbei 
einer Kennung in Form bestimmter Login-Daten (regelmäßig E-Mail-Adresse und 


69 Zur Anonymität im demokratischen Diskurs siehe Kersten, JuS 2017, 193 (201 f). Sei die 
Prangerwirkung — wie beispielsweise von Kube in: Isensee/Kirchhof, HStR VII, $ 148, Rn. 
148 in Fn. 435 beschrieben — dennoch gegeben, so kann sich dieser zumindest einfacher 
entzogen werden, indem Nutzerkonten schlichtweg gelöscht werden oder ein neues Pseudonym 
genutzt wird. Dies setzt jedoch voraus, dass keine anderen „Spuren“ mit in die neue digitale 
Identität übernommen werden. Zum Anonymitätsschutz in der Sozialsphäre siehe auch Brost/ 
Conrad, AfP 2017, 286 (287/288). Vgl. auch BVerfGK 18, 42 (53 f). 

70 Schallaböck, Identitätsmanagement als Grundlage von Verhaltenssteuerung, S. 103 (104 f, 107 
ff); Petrlic/Sorge, Datenschutz, S. 67, 12; Windley, Digital Identity, chapter 2; Hühnlein, DuD 
2008, 161. 

71 Hansen/Meints, DuD 2006, 543 (543); Meyer, Virtuelle Identität, S. 31. Daneben sei angemerkt, 
dass der Terminus der digitalen Identität häufig als Synonym für die mit dem elektronischen 
Personalausweis und dem neuen Reisepass verbundene Identität verwendet wird — so z.B. 
Doring, Sozialpsychologie im Internet, S. 344 und Eckert, IT-Sicherheit, S. 540 ff. 

72 Hansen/Meints, DuD 2006, 543 (543). 
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Passwort), um die Zuordnung zwischen digitaler Identität und Daten herzustel- 
len. Eine Verbindung zwischen analoger und digitaler Identität im Sinne einer 
Personenbeziehbarkeit ist jedoch nicht immer gegeben.” 


Konsequent muss allerdings in Anbetracht der datenschutzrechtlichen Prägung 
dieser Definition zwischen personenbeziehbaren und nicht-personenbeziehbaren 
digitalen Identitäten differenziert werden. Während erstere typischerweise dann 
vorliegen, wenn Profile in sozialen Netzwerken mit Identitätsdaten gespeist wer- 
den (z.B. eigenes Bild, Klarname, etc.)’* und ggf. die Nutzung auch mit einem 
Pseudonym erfolgt, liegen letztere insbesondere dann vor, wenn das Profil nur an 
eine vom Plattformbetreiber geschaffene Identität (z.B. mittels zufallsgeneriertem 
Benutzernamen)’ oder lediglich an E-Mail (ohne den Klarnamen zu enthalten) 
und Passwort als Login-Daten geknüpft ist — in diesem Sinne einer anonymen Nut- 
zungsweise’® entspricht.” Die Grenze zwischen beiden Varianten ist allerdings 
diffus, da schon durch einzelne Attribute bzw. Informationen die Verschleierung 
der wahren Identität aufgelöst werden kann,’® insbesondere durch die erwähnte 
E-Mail-Adresse mit Klarnamen. Insoweit kann der Personenbezug, ganz nach 
dem Wortlaut von Art. 4 Nr. 1 sowie dem Erwägungsgrund 26 DSGVO, nur im 


73 Hansen/ Meints, DuD 2006, 543 (543); Humer, Identitätsarbeit in digitalen Systemen, S. 149. 

74 Kühnl, Persönlichkeitsschutz 2.0, S. 21 f, Hühnlein, DuD 2008, 161; Meyer, Virtuelle Identität, 
S. 31; vgl. auch Art. 4 Nr. 1 DS-GVO sowie dazu Gola in: Gola, DS-GVO, Art. 4, Rn. 16 f 
sowie Krügel, ZD 2017, 455 (456, 459) unter Verweis auf ErwGr 26 der DSGVO. 

75 Darunter fallen insbesondere jene Identitäten, die zum Zwecke des Trackings über mehrere 
Webseiten oder anderweitige Angebote des Plattformbetreibers angelegt werden. Neben der 
Datensammlung ist für diese Art der digitalen (Teil-)Identität jedoch vielmehr, dass sie ohne 
entsprechende aufgeklärte Einwilligung — da in AGB verklausuliert oder in Ermangelung 
einer Nutzungsalternative — oder gänzlich abseits des Bewusstseins des Identitätsinhabers und 
Nutzers angelegt wird. Wichtig ist an bei der Betrachtung von digitalen Identitäten daher nicht, 
ob sie bewusst oder unbewusst vom Identitätsinhaber angelegt und gepflegt wird. Schließlich 
unterliegen in Anlehnung an BVerfGE 65, 1 personenbezogene Daten unabhängig ihres Inhalts 
dem Schutz der informationellen Selbstbestimmung gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG. Es 
kann daher nur auf die Rückführbarkeit und Zuordenbarkeit der generierten Daten ankommen. 

76 Hierzu Doring, Sozialpsychologie im Internet, S. 344; Ziebarth in: Sydow, DS-GVO, Art. 4, 
Rn. 24 f unter Verweis auf ErwGr 26 der DSGVO sowie Roßnagel/Scholz, MMR 2000, 721 
(723, 725 f, 727) hinsichtlich mehrerer Arten der Pseudonymität. 

77 Vgl. Ziebarth in: Sydow, DS-GVO, Art. 4, Rn. 15 ff, 17. 

78 Ähnlich Ziebarth in: Sydow, DS-GVO, Art. 4, Rn. 21. Vgl. EuGH, Urteil vom 19.10.2016, Az. 
C-582/14 — Breyer —, Rn. 25 f. 
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Einzelfall mit Fokus auf den Verantwortlichen bzw. Datenverarbeitenden ermittelt 
werden. Ein abstrakter, stets vorhandener Personenbezug für alle Beteiligten des 
Internets ist abzulehnen. Für den terminus der digitalen Identität ergeben dahin- 
gehend nur Unterschiede in ihrem rechtlichen Schutz, welcher in der konkreten 
Betrachtung zu differenzieren ist.” Beide Varianten der Profilbildung sind digitale 
Identitäten nach der dargestellten Definition. 


Darüber hinaus könnte bei der vollständigen Loslösung der digitalen von der ana- 
logen Identität wiederum von einer virtuellen Identität gesprochen werden, soweit 
sie durch ihre Ausformung und Eigenständigkeit einer Identität im analogen Sinne 
nahe kommt. Nach Meyer ist eine virtuelle Identität hingegen jedes „Nutzerprofil 
einer Person, das auf Dauer angelegt ist, konsistent genutzt wird und daher für 
andere Nutzer wiedererkennbar ist, ohne dass sich die dahinterstehende natürli- 
che Person erkennbar ist.“ Ähnlich versteht Döring aus psychologischer Sicht 
darunter jede „mehrfach in konsistenter und für andere Menschen wieder erkenn- 
barer Weise verwendete, subjektiv relevante Repräsentation einer Person“.®! Dies 
entspricht im Ergebnis aber auch einer pseudonymen Nutzungsweise der digitalen 
Identität gegenüber dem Diensteanbieter, wenn beispielsweise im Wege der Foren- 
Nutzung der eigene Benutzername an Beliebtheit und Bekanntheitsgrad gewinnt 
und sich so zu einer eigenständigen Persönlichkeit entwickelt, der Personenbezug 
allerdings nur für den Diensteanbieter bzw. Betreiber herstellbar ist. Auch ist dies 
der Fall, wenn es sich um eine Nutzung gegen Zahlung einer monatlichen Gebühr 
handelt, wie es regelmäßig bei Online-Rollenspielen zu finden ist.®? Der Begriff 


79 Siehe Kapitel D.1.1.a). 

80 Meyer, Virtuelle Identität, S. 54 sowie gleichermaßen beschreibend Kube in: Isensee/ 
Kirchhof, HStR VII, $ 148, Rn. 147; Golland/Kriegesmann, PinG 2017, 45 (46). Ähnlich im 
Bereich der MMORPG-Videospiele die Begriffe der virtuellen und digitalen Identität vermi- 
schend Krasemann, DuD 2008, 194 (195). Zur virtuellen Identität iSe virtuellen Persönlichkeit 
siehe auch Holznagel in: Hoeren/Sieber/Holznagel, Handbuch MultimediaR, Teil 8, Rn. 8. Da- 
gegen nicht zu verwechseln mit dem Begriff des „digitalen Zwillings“, wenngleich sich hierzu 
Parallelen finden lassen — hierzu Kuhn, Informatik Spektrum 2017, 440 (440 f). 

81 Doring, Sozialpsychologie im Internet, S. 341. Begrifflich ähnlich, allerdings ohne definitori- 
schen Ansatz, Kube in: Isensee/Kirchhof, HStR VII, § 148, Rn. 147. 

82 Das Angebot der Mitgliedschaft zur Nutzung der Software — beispielsweise des Online- 
Rollenspiels/MMORPG - ist üblich und unter Angabe des Kreditkarten-Inhabers u.U. auf 
den Inhaber der Zugangsdaten zurückführbar iSd Art. 4 Nr. 1 DSGVO. 
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von Meyer und Döring geht daher im dargelegten Begriff der digitalen Identität 
auf. 


Auf juristischer Ebene ist abschließend zu hinterfragen, ob es überhaupt der neuen 
Begrifflichkeit der „digitalen Identität“ bedarf oder sich eine Zuordnung zu be- 
stehenden Begriffen vornehmen lässt. Zu denken ist hierbei an Begriffe aus dem 
Datenschutzrecht, insbesondere jenen der personenbezogenen Daten oder den des 
Persönlichkeitsprofils®®. Gemäß $ 3 Abs. 1 BDSG a.F. sowie Art. 4 Nr. 1 DSGVO 
sind Daten personenbezogen, sofern sie Aussagen persönlicher oder sachlicher Na- 
tur enthalten und dieser Person zugeordnet werden können.®* Die Zuordenbarkeit 
ist dabei entsprechend weit zu fassen; schon die tatsächliche Möglichkeit einer Zu- 
ordnung über gewährte Informationsansprüche iSd relativen Theorie reicht aus.®> 
„Person“ kann dabei nur eine natürliche Person sein — sowohl nach $$ 1 Abs. 1, 3 
Abs. 1 BDSG a.F. als auch nach Art. 4 Nr. 1 DSGVO und $ 46 Nr. 1 BDSG. Damit 
sind juristische Personen expressis verbis nicht vom Begriff der personenbezoge- 
nen Daten umfasst, wenngleich ihnen einzelne verfassungsrechtliche Interessen 
aus dem Allgemeinen Persönlichkeitsrecht zugesprochen werden.®° Das (einfach- 
gesetzliche) Datenschutzrecht bezieht sich mithin nahezu ausschließlich auf den 


83 Die Verknüpfung ist insoweit iSd Verarbeitung gem. $ 15 Abs. 3 TMG a.F. sowie $ 1 Abs. 2 Nr. 3 
i.V.m. $ 3 Abs. 3, 4 BDSG a.F. vom Datenschutzrecht erfasst — Tinnefeld/Buchner in: Wolff/ 
Brink, BeckOK DatenschutzR (23. Edition), Grundlagen — Medien, Rn. 92, 93; Moos, MMR 
2006, 718 (719); Peifer, K&R 2011, 543 (544 f). 

84 Zur Einordnung der Regelbeispiele des Art. 4 Nr. 1 DSGVO siehe Ernst in: Paal/Pauly, DSGVO, 
Art. 4, Rn. 14 sowie Klar/Kühling in: Kühling/Buchner, DSGVO, Art. 4 Nr. 1, Rn. 3 ff. 

85 Siehe EuGH, Urteil vom 19.10.2016, Az. C-582/14 = CR 2016, 791 m. Anm. Nink sowie vgl. 
Art. 4 Nr. 1, ErwGr 26, 30 DSGVO. Befürwortend ebenfalls Gola in: Gola, DS-GVO, Art. 4, 
Rn. 18; Klar/Kühling in: Kühling/Buchner, DSGVO, Art. 4 Nr. 1, Rn. 26; Krügel, ZD 2017, 455 
(459) unter Hinzunahme eines Korrektivs zur Auslegung des ErwGr 26. Ausführlich anhand 
Auslegung siehe Hofmann/Johannes, ZD 2017, 221 sowie Roßnagel, ZD 2018, 243 (244 f). 
Krit. dagegen Ziebarth in: Sydow, DS-GVO, Art. 4, 37 f. 

86 Ernst in: Paal/Pauly, DSGVO, Art. 4 DSGVO, Rn. 5 sowie Frenzel in: Paal/Pauly, DSGVO, 
$ 46 BDSG, Rn. 3; Ziebarth in: Sydow, DS-GVO, Art. 4, Rn. 13; Klar/Kühling in: Kühling/ 
Buchner, DSGVO, Art. 4 Nr. 1, Rn. 4. Krit. zum Datenschutzrecht juristischer Personen Gola in: 
Gola, DS-GVO, Art. 4, Rn. 23 ff. Ebenfalls hierzu Kapitel D.I.2.d). 
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Schutz natürlicher Personen.°’ Insoweit unterscheidet sich das Verständnis des 
personenbezogenen Datums vom Begriff der digitalen Identität, als dass letzterer 
auch juristischen Personen in die Definition einbezieht. 


Weiterhin bleibt der Begriff des Persönlichkeitsprofils auf seine Tauglichkeit zu 
überprüfen. Erstmalig benannt und erläutert wurde der Begriff in der Volkszäh- 
lungsentscheidung des Bundesverfassungsgerichts. Persönlichkeitsprofile zeich- 
nen sich demzufolge durch die „Erstellung eines umfassenden und detaillierten 
Bildes der jeweiligen Person“ aus; das Schlagwort des „gläsernen Menschen“ 
entstand.®® Der damit beschriebene Vorgang hat im Datenschutzrecht im Rahmen 
des Umgangs mit personenbezogenen Daten Anklang gefunden und ähnelt da- 
her dem Wortlaut des $ 3 Abs. 2-4 BDSG a.F. Konkret wird er dagegen bei der 
Erstellung zum Zwecke der Werbung, Marktforschung oder zur bedarfsgerechten 
Gestaltung der angebotenen Telemedien in Form von Nutzungsprofilen erwähnt, 
$ 15 Abs. 3 TMG a.F.® Daneben findet er sich im Sinngehalt datenschutzrecht- 
licher Prinzipien? wieder, beispielsweise der Datensparsamkeit des $ 3a oder 
der Zweckgebundenheit?! der $$ 31, 39 BDSG a.F. Das Persönlichkeitsprofil als 
Ergebnis der in $ 3 Abs. 2-4 BDSG a.F. bezeichneten Mechanismen gilt es im 
Datenschutzrecht zu vermeiden; das Ziel der Zerstreuung und Aufweichung eines 
solchen Profils gilt es zu erreichen. Kennzeichnend für ein Persönlichkeitsprofil 
ist, wie durch das Bundesverfassungsgericht herausgestellt, die umfassende Ka- 
talogisierung oder Aufzeichnung der Persönlichkeit durch die Zusammenführung 


87 BVerfGE 65, 1 (41): „Gefährdungen der menschlichen Persönlichkeit“; Schild in: Wolff/ 
Brink, BeckOK DatenschutzR (23. Edition), $ 3 BDSG, Rn. 2; Spindler/Nink in: Spindler/ 
Schuster, Recht der elektronischen Medien, $ 11 TMG, Rn. 15; Ernst in: Paal/Pauly, DSGVO, 
Art. 4, Rn. 5; Ziebarth in: Sydow, DS-GVO, Art. 4, Rn. 13; Gola in: Gola, DS-GVO, Art. 4, 
Rn. 23 ff. 

88 BVerfGE 65, 1 (17). 

89 Tinnefeld/Buchner in: Wolff/Brink, BeckOK DatenschutzR, Grundlagen — Medien, Rn. 92, 93; 
Schmitz in: Spindler/Schmitz/Liesching, TMG, $ 15, Rn. 85 ff. Weitere kommerzielle Zwecke 
der Profilnutzung nennend Kühnl, Persönlichkeitsschutz 2.0, S. 39 f. 

90 Hierzu näher Ronellenfitsch in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), Einleitung 
zum BDSG, Rn. 57 f. In der DSGVO finden sich diese ausdrücklich in Art. 1 Abs. 1, Abs. 2 
sowie 5 DSGVO wieder. 

91 Vgl. hierzu ebenfalls BVerfGE 65, 1 (46) sowie Hornung, Die digitale Identität, S. 157 ff. 
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einzelner Lebens- und Personaldaten einer natürlichen Person.” Dabei wird zwi- 
schen Langzeitprofilen und Querschnittsprofilen unterschieden, wobei letztlich 
beide zweckmäßig einen größtmöglichen und realistischen Ausschnitt der Per- 
sönlichkeit abbilden.” Ähnlich, wenngleich nicht ausdrücklich, hat die Formu- 
lierung in die DSGVO Eingang gefunden — namentlich im Prozess des Profilings 
gem. Art. 4 Nr. 4 DSGVO. Zwar erläutern sowohl Art. 4 Nr. 4 als auch Art. 22 
DSGVO nicht die Profilerstellung an sich, sondern beziehen sich ausschließlich 
auf die automatisierte Entscheidung als Ergebnis der Auswertung von Persönlich- 
keitsprofilen. Jedoch schließen die Erwägungsgrunde 71, 72 DSGVO ein, dass es 
sich dabei um eine Verarbeitung personenbezogener Daten natürlicher Personen 
(vgl. Art. 1, 4 Nr. 1 DSGVO) handelt; charakteristisch ist eine automatisierte 
Verarbeitung unter Bewertung der persönlichen Aspekte in Bezug auf die natürli- 


che Person selbst?* 


. Davon ist jedoch der Weg zur automatisierten Entscheidung, 
also die entscheidungsbezogene Auswertung eines Persönlichkeitsprofils, zu tren- 
nen.” Die Begriffe des Persönlichkeitsprofils sowie des Profilings sind also nicht 
kongruent bzw. synonym. Angesichts der im Laufe der Historie etablierten und 
erweiterten Definition könnte man meinen, dass die digitale Identität dem Modell 
des „gläsernen Menschen“ entspricht: In beiden Fällen handelt es sich in der Ge- 
samtheit um eine größtmögliche Sammlung an Daten, welche Aussagen über die 
analoge Person enthält. Die digitale Identität greift aber einen Schritt weiter, ist 
also umfangreicher, indem sie das Persönlichkeitsprofil in seiner digitalen Form 
als eigenständiges Konstrukt ansieht, welchem Rechte und Pflichten im Rahmen 
des Systems zugeordnet werden.” Weiter bezieht sich auch dieser Aspekt nur 
auf natürliche Personen, wohingegen nach der hier vertretenen Definition auch 
juristische Personen über eine digitale Identität verfügen. Die digitale Identität 


92 BVerfGE 65, 1 (17, 42 f); Kühnl, Persönlichkeitsschutz 2.0, S. 21. 

93 Vgl. Polenz in: Taeger/Pohle, Computerrechts-Handbuch, 130: Verfassungsrechtliche Grundla- 
gen des Datenschutzes, Rn. 18, 19. 

94  ErwGr 71 S. 2 DSGVO. 

95 So Buchner in: Kühling/Buchner, DSGVO, Art. 22, Rn. 11. Vgl. auch Martini in: Paal/ 
Pauly, DSGVO, Art. 22 DSGVO, Rn. 21; Hladjk in: Ehmann/Selmayr, DSGVO, Art. 22, 
Rn. 7. 

96 Der Begriff insbesondere in Anlehnung an Identity Management Systeme (kurz IMS) — Meints/ 
Reimer, DuD 2006, 528 sowie Hansen/Meints, DuD 2006, 543 (546). 
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entspricht also einer ganzheitlichen Betrachtung der im Internet repräsentierten 
Person kraft Ihrer Teilidentitäten unabhängig ihrer Subjektsqualität, während sich 
das Persönlichkeitsprofil als möglichst realistisches Abbild einzelner Aspekte der 
analogen Person in numerischer oder sozialer Hinsicht?” darstellt. Demnach unter- 
liegen dem BDSG sowie der DSGVO lediglich solche digitalen (Teil-)Identitäten, 
die dem Begriff des Persönlichkeitsprofils entsprechen oder durch den Prozess 
des Profilings entstanden sind und sich entsprechend auf personenbezogene Da- 
ten beziehen. Datensätze juristischer Personen sowie anonyme bzw. pseudonyme 
Online-Kennungen”® fallen nicht hierunter, obschon sie Merkmale digitaler Iden- 
titäten sind. Dem Einwand, dass bereits bestehende Begrifflichkeiten zu einer 
Einordnung ausreichen könnten, ist damit zu widersprechen. 


97 Ausführlich hierzu Meyer, Virtuelle Identität, S. 24 ff, 48 ff. 

98 Hierzu zählen — so auch Conrad/Hausen in: Auer-Reinsdorff/Conrad, Handbuch IT- und Da- 
tenschutzrecht, $ 36, Rn. 162, 164 — beispielsweise Profile auf Grundlage des Device- oder 
Browser- bzw. Canvas-Fingerprintings, welche durch die Verkettung des Nutzerverhaltens, wie 
durch die Analyse der Browser-Historie — zT auch über verschiedene Webseiten hinweg —, sowie 
Merkmale der Hard- und Software des Endgeräts entstehen. Zum technischen Vorgang siehe 
vgl. Federrath/Gerber/Herrmann, DuD 2011, 791 und Olejnik/Castelluccia/Janc, Annals of 
Telecommunications 2014, 63 (64) sowie zu den resultierenden (technischen) Vorzügen Cao/Li/ 
Wijmans, Network & Distributed System Security Symposium 2017, 1 (2 ff). Zum Fingerprin- 
ting des Geräts, also unabhängig von gespeicherten Daten über den Browser oder installierte 
Plugins siehe Boda etal., User Tracking on the Web via Cross-Browser Fingerprinting, 31 (34 
ff). Zu Tracking und Identifikation anhand von Touch-Gesten siehe Masood et al., Proceedings 
on Privacy Enhancing Technologies 2018, 122. Zu beachten ist hierbei allerdings, dass derar- 
tige Profile überwiegend zur Identifikation der Geräte zum Zwecke der Webseitennutzung und 
-anpassung dienen und eher nachrangig der Authentisierung der Identität des Nutzers selbst die- 
nen — Wenhold, Nutzerprofilbildung durch Webtracking, S. 49 sowie Cao/Li/Wijmans, Network 
& Distributed System Security Symposium 2017, 1 (1). So können die genannten Fingerprints 
im Fall der Authentisierung als weiterer Faktor eingesetzt werden, um bei einem Identitäts- 
diebstahl den Login eines Geräts mit einem abweichenden Fingerprint als Indiz zu nutzen. 
Weiterhin dienen sie allerdings zur Personalisierung des Webseiten-Inhalts, insbesondere der 
Werbung. 
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4. 


Abschließende Definitionsfindung 


Der Begriff der digitalen Identität ist demgemäß in jeglicher Hinsicht mannigfaltig 


und in einigen Teilgebieten der Wissenschaft nicht vollständig erforscht.” Den- 


noch lassen sich einzelne grundlegende Merkmale für die weitere Untersuchung 
festhalten: 


e Die — sowohl analoge als auch digitale — Identität unterliegt der stetigen 


Veränderung aufgrund der auf den Menschen wirkenden Einflüsse. 


Sie zeigt sich in jeglichen Interaktionen mit der Außenwelt, mittelbar oder 
unmittelbar. Beispiele hierfür sind Meinungsäußerungen, Handlungen ba- 
sierend auf Entscheidungen oder eine bestimmte, äußerlich wahrnehmba- 
re Lebensweise (Sexualität, politische Ausrichtung, Vereinsmitgliedschaft, 
etc.). Einzelne Aspekte der digitalen Identität sind als Attribute zu bezeich- 


nen. 1% 


Digital existiert die Identität nicht als Ganzes, sondern durch sog. digi- 
tale Teilidentitäten. Jede Teilidentität repräsentiert einzelne Merkmale in 
Abhängigkeit des angebotenen Dienstes sowie der gewollten Darstellungs- 
weise des Identitätsinhabers. Der Praktikabiltät halber wird im folgenden 
der Begriff der digitalen Identität synonym für die digitale Teilidentität 
verwendet. 


99 


100 


Forschungsprojekte diesbezüglich sind FIDIS (Future of Identity in Information Society) sowie 
PRIME (Privacy and Identity Management for Europe), beide allerdings abgeschlossen. Die 
Ergebnisse des Forschungsprojektes PRIME wurden in Camenisch/Leenes/Sommer, Digital 
Privacy festgehalten. Bezug zur digitalen Identität weist aktuell lediglich das Forschungsprojekt 
EIDI auf, welches sich mit dem Diebstahl digitaler Identitäten auseinandersetzt. 

BITKOM, Web Identitäten, S. 6; Hansen/Meints, DuD 2006, 543 (543); Hühnlein, DuD 2008, 
161; Windley, Digital Identity, chapter 2.1. 
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e Jede digitale Identität mit Personenbezug ist auf eine Kennung bzw. einen 


Identifier einer natürliche oder juristische Person (auch als Entität bezeich- 
net!?!) zurückführbar. Bei anonymen digitalen Identitäten dient der Iden- 
tifier als Referenz- bzw. Schnittpunkt einer Datensammlung. In der Regel 
dient der Identifier aber als Schlüssel sowie Zuordnungsmöglichkeit der in 
einer Anwendung oder Dienst aufkommenden Daten. Ist dem Dienstean- 
bieter der wahre Name oder ein Rückschluss auf andere Weise möglich, 
entspricht die digitale Identität einem Pseudonym - andernfalls ist der Nut- 
zer anonym. !"? Unabhängig dieser charakterlichen Zuordnung können die 
einzelnen Daten der digitalen Identität aber als Quasi-Identifier dienen, also 


in Kombination mit anderen Daten zur Identifizierung führen.'% 


Hinter jeder Kennung einer digitalen Identität verbirgt sich ein Datensatz. 
Dieser kann aus personenbezogenen und/oder nicht-personenbezogenen 
Einzeldaten bestehen, sodass folglich zwischen personenbeziehbaren und 
nicht-personenbeziehbaren Identitäten zu unterscheiden ist. Nur in ersterem 
Fall stimmt die digitale Identität mit dem Konstrukt des Persönlichkeits- 
profils bzw. des Profilings iSd Art. 22 DSGVO überein; der Begriff der 
digitalen Identität ist damit weiter. 


Die Personenbeziehbarkeit ist allerdings einzelfallabhängig, da auch bei 
nicht-personenbezogenen Einzeldaten ein Personenbezug entstehen kann. 
Dieser ergibt sich beispielsweise durch die Auswertung des Datensatzes 
oder einer Verknüpfung mit anderen Datensätzen, die zu einzigartigen Mus- 
tern führen und in Kombination mit personenbezogenen Daten eine Iden- 
tifikation zulassen. Die Maßstäbe für die Ermittlung dieser Wahrschein- 
lichkeit für eine Re-Identifizierung finden sich in Erwägungsgrund 26 S. 4 
DSGVO.!” 


101 
102 


103 


104 
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Vgl. Hühnlein, DuD 2008, 161 (161); Hölzel, DuD 2018, 502 (504). 

Meyer, Virtuelle Identität, S. 34 f, BITKOM, Web Identitäten, S. 9; Hansen/Meints, DuD 2006, 
543 (543). 

Hölzel, DuD 2018, 502 (504) sowie Petrlic/Sorge, Datenschutz, S. 30 f. Hierzu näher unter 
D.1.1.b)bb)(2). 

Zum Verfahren siehe auch Roßnagel, ZD 2018, 243 (244). 


II. Natürliche (digitale) Personen 


e Eine Übereinstimmung der Attribute zwischen einzelnen digitalen Identi- 
täten oder einer solchen und der analogen Identität muss iSe Bijektivität 
nicht gegeben sein. Das Verhältnis ist eher surjektiver oder injektiver Na- 
tur!®, kann im Einzelfall allerdings durchaus bijektiv sein — beispielsweise 
im Falle einer statischen IP-Adresse. !% 

Nachfolgend ist anhand der Eigenschaften der digitalen Identität im Einzelnen 

die verfassungsrechtliche Schutzfähigkeit der digitalen Identität einzelner Rechts- 

subjekte zu untersuchen, wobei besonderes Augenmerk auf juristischen Personen 
und künstliche Entitäten liegt. 


Il. Natürliche (digitale) Personen 


Natürliche Personen sind schon ipso iure Grundrechtsträger, einschließlich ihrer 
Identität. Als Menschenrechte in Art. 1 Abs. 2 GG bezeichnet, gewähren diese 
einen vollumfänglichen Schutz in allgemeiner (in Form des Auffanggrundrechts 
in Art. 2 Abs. 1 GG) oder besonderer (in Form spezieller Ausprägungen der Art. 
2-19, 33, 38, 104-106 GG), inhaltlicher Hinsicht. 


1. Zeitliche Dimensionen des 
verfassungsrechtlichen Schutzes 


Voraussetzung hierfür ist jedoch, dass natürliche Personen auch den weiteren An- 
forderungen des personellen Schutzbereiches der Grundrechte genügen, wie der 
zeitlichen Dimension der Grundrechte. Zwar gibt die Verfassung expressis verbis 


105 Zu den Begrifflichkeiten Forster, Analysis I, S. 91. 

106 Vgl. die Causa Breyer — EuGH, Urteil vom 19.10.2016, Az. C-582/14 = CR 2016, 791 m. Anm. 
Nink. Zu bemerken ist aber, dass die statische IP-Adresse nicht den Nutzer, sondern nur den 
Anschlussinhaber ermitteln lässt. Gerade diese Diskrepanz führt in Fällen der Störerhaftung 
regelmäßig zu Problemen, weshalb eine einwandfreies bijektives Verhältnis auch hier bestritten 
werden kann. 
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hierüber keinen Aufschluss, ergibt sich doch unter Einbeziehung der Rechtspre- 
chung des Bundesverfassungsgerichts eine zeitliche Dimension des Grundrechts- 
schutzes, orientiert an den Lebensphasen des Menschen: Der Wortlaut des Art. 1 
Abs. 1 GG in Verbindung mit $ 1 BGB umfasst zunächst nur den lebenden Men- 
schen als Grundrechtsträger.'”” Mittelbar ließe sich dies auch aus dem status 
activus oder status negativus der Grundrechtsbereiche herauslesen: Nur, wo die 
Schutzbereiche selbstbestimmt ausgeübt und wahrgenommen werden, kann auch 
eine Grundrechtsträgerschaft vorliegen.''® Der Wortlaut der Art. 1-19 GG lässt 
die Grundrechte allerdings nicht erst nach einer bestimmten Handlung oder gar 
Betroffenheit gelten, sondern sie kommen grundsätzlich jedem (lebenden) Men- 
schen zu - unabhängig weiterer Kriterien oder eines bestimmten Kenntnisstandes. 
Nichts anderes lässt insbesondere die Wertung der Grundrechte als Menschen- 
rechte gem. Art. 1 Abs. 1 S. 2 GG zu.!” Je nach Schutzgut ist die grundrechtliche 
Zeitachse allerdings zu erweitern, insbesondere angesichts objektivrechtlicher 
Gewährleistungsgehalte der Grundrechte. 


In Richtung des Lebensendes bzw. darüber hinaus sind natürliche Personen eben- 
falls hinsichtlich ihrer Persönlichkeit geschützt, insbesondere der Ehre und Wür- 
de. Das postmortale Persönlichkeitsrecht, fußend auf Art. 1 Abs. 1 GG und nicht 


Teil des Allgemeinen Persönlichkeitsrechts!!® 


, schützt vor Herabwürdigung oder 
Erniedrigung des Menschen- bzw. Persönlichkeitsbildes der toten Person.!!! Es 
schützt den allgemeinen Achtungsanspruch und die personale Eigenheit des Men- 


schen nach seinem Tod.!!? Konkret erstreckt sich der Schutz neben der Ehre auch 


107  Merten/Papier, HGr II, $ 49, Rn. 6. 

108 Vgl. BVerfGE 30, 173 (194): „Das Grundrecht aus Art. 2 Abs. 1 GG setzt die Existenz 
einer wenigstens potentiell oder zukünftig handlungsfähigen Person als unabdingbar voraus.“, 
wiederholend in BVerfG NJW 2001, 594; Huber in: Merten/Papier, HGr II, $ 49, Rn 4, 6. 

109 Vgl. Huber in: Merten/Papier, HGr II, $ 49, Rn. 29, 30; BVerfGE 88, 203 (251 f). 

110 So BVerfGE 30, 173 (194); Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2 GG, Rn. 
31; Lang in: Epping/Hillgruber, BeckOK GG, Art. 2, Rn. 48 und 48a; Boksanyi/Koehler in: 
Wandtke/Ohst, Medienrecht Praxishandbuch, Kap. 6, Rn. 25; Kube in: Isensee/Kirchhof, HStR 
VII, $ 148, Rn. 73; Luch, Medienpersönlichkeitsrecht, S. 134 f; aA Höfling in: Sachs, GG, Art. 
1, Rn. 63 aE sowie 68; ähnlich Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 I, Rn. 57. 

111 BVerfGE 30, 173 (194); BVerfGK 9, 83 (88); Kloepfer, VerfR II, $ 55, Rn. 44 ff; Boksanyi/- 
Koehler in: Wandtke/Ohst, Medienrecht Praxishandbuch, Kap. 3, Rn. 26. 

112 BVerfGE 30, 173 (194); Martini, JZ 2012, 1145 (1150). 


28 


II. Natürliche (digitale) Personen 


auf Aspekte der Identität, wie den Schutz vor Verfälschung des Lebensbildes und 
den Namen als Ausdruck und Merkmal ebendieser.''? Letzteres entspringt der 
Schutzwirkung hinsichtlich des „sittlichen, personalen und sozialen Geltungswer- 
tes“, welcher mittels der eigenen Lebensleistung erworben wurde.'!* Hinzu tritt 
ein originärer Schutz des Toten aus Art. 1 Abs. 1 GG in seiner Würde in Bezug 
auf eine mögliche Objektifizierung des Leichnams.!!5 Genannten Eingriffsvaria- 
tionen gemein ist, dass es einer gewissen Schwere bedarf, um eine Verletzung 
anzunehmen.!!® Zumindest muss die Verletzung sorgfältig begründet sein, eine 
bloße Berührung reicht nicht aus.!!? Die Schutzweite bzw. -dauer wird allerdings 
— und das zurecht — von der Reichweite der zu Lebzeiten erworbenen Würde 
und Ehre begrenzt. Dieser relative Ansatz erscheint nur konsequent, da die Wür- 
de nach dem Tod auf der „Ehrung des Andenkens derjenigen, die einmal unter 


uns waren oder vor uns waren“!!3 


sowie auf dem erworbenen (oder „erlebten“) 
sittlichen, personalen und sozialen Geltungswert, basiert. Die Ehre und Würde 
einer Schauspielerin ist beispielsweise umfangreicher und daher in größerem und 
längerem Umfang zu schützen als die eines gewöhnlichen Bürgers.'!? Gleicher- 
maßen reduziert sich der postmortale Würde-Schutz mit dem Voranschreiten der 


Zeit; er verblasst, ebenso wie die Erinnerungen an den Verstorbenen. 120 


113 Luch, Medienpersönlichkeitsrecht, S. 148 f; Fischer, Die Entwicklung des postmortalen Persön- 
lichkeitsschutzes, S. 99 f; BVerfGE 63, 131 (135); vgl. 59, 216 (226). Weitere Güter darstellend 
Fischer, Die Entwicklung des postmortalen Persönlichkeitsschutzes, S. 71 ff. 

114  BVerfGK 9, 83 (88); Martini, JZ 2012, 1145 (1150). 

115  Kloepfer, VerfR II, $ 55, Rn. 45; Hufen, Staatsrecht II, $ 10, Rn. 26; Knellwolf, ZUM 1997, 
783 (785 f). 

116 Kritisierend Luch, Medienpersönlichkeitsrecht, S. 138 f. 

117 Vgl. BVerfGE 93, 266 (294); Boksanyi/Koehler in: Wandtke/Ohst, Medienrecht Praxishand- 
buch, Kap. 6, Rn. 27 f. 

118 So Hofmann, AöR 118 (1993), 353 (375); vgl. zum Relationsbegriff auch Herdegen in: Maunz/ 
Dürig, GG-Kommentar, Art. 1 I, Rn. 54. 

119 Vgl. BVerfGE 30, 173 (195). 

120 Vgl. BVerfGE 30, 173 (196) sowie BGHZ 50, 139 (140 f); Herdegen in: Maunz/Dürig, GG- 
Kommentar, Art. 1 I, Rn. 57; Knellwolf, ZUM 1997, 783 (788). Ähnlich, allerdings an einer 
absoluten Schutzfrist festhaltend Bender, VersR 2001, 815 (824) sowie Fischer, Die Entwick- 
lung des postmortalen Persönlichkeitsschutzes, S. 188 ff, 195 f — anknüpfend an der 70-jährigen 
Schutzdauer des $ 64 UrhG. 
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Diametral, also im pränatalen Bereich, existiert ebenfalls ein partieller Schutz 
gemäß der Verfassung. Denklogisch kann sich dieser nicht auf die Kommuni- 
kationsgrundrechte oder die Versammlungsfreiheit erstrecken, dafür jedoch auf 
Inhalte der Würde!?! und des Lebens. !?? Embryonen sind, jedenfalls ab dem Zeit- 
punkt der Nidation in der Gebärmutter, in ihrem Leben und ihrer Unversehrtheit 
gem. Art. 2 Abs. 1GG geschützt.!? „Wo menschliches Leben existiert, kommt 


ihm Menschenwürde zu“!?* 


— der Schutz gilt unabhängig von einer Wertigkeit des 
werdenden Lebens oder anderen Voraussetzungen, die dem Embryo anhaften. Es 
kommt vielmehr darauf an, dass der Prozess des Wachsens und Sich-Entfaltens 
bereits begonnen hat; die Verschmelzung des Erbgutes führte bereits dazu, eine 
genetisch unverwechselbare Identität zu erschaffen bzw. diesen Prozess in Gang 
zu bringen.'”5 Diese Folgerung resultiert schon aus der Rückschau auf die eigene 
Existenz und deren Anfänge.!? So verstand bereits das Bundesverfassungsgericht 


im Ansatz die Entstehung des Lebens als Prozess!?’, während bis heute Teile der 


121 Anbei sei des Verständnisses halber erwähnt, dass die Menschenwürde des Art. 1 Abs. 1 GG 
im Folgenden als Grundrecht und nicht als Grundprinzip gesehen wird. Zur Thematik genannt 
seien nur Ipsen, DVBl 2004, 1381 (1383 f); Zarr, Menschenwürde, S. 102 mwN. Ablehnend 
dagegen Isensee in: Merten/Papier, HGr IV, $ 87, Rn. 103 ff, Hufen, JZ 2004, 313 (314 f). 

122  Rüfner in: Isensee/Kirchhof, HStR IX, $ 196, Rn. 8. 

123 BVerfGE 39, 1 (37); 88, 203 (251). 

124 BVerfGE 88, 203 (252) unter Verweis auf E 39, 1 (41). 

125 BVerfGE 88, 203 (251 f); vgl. Müller-Terpitz, Schutz pränatalen Lebens, S. 341 f. Bemerkens- 
wert ist jedoch der bisherige Kenntnisstand der Forschung hinsichtlich der Möglichkeit, dass 
zwischen Kernverschmelzung und Nidation noch weitere (identitätsbestimmende) Zellteilungs- 
vorgänge beginnen — so Hufen, JZ 2004, 313 (315). Konsequent müsse daher folgen, dass eine 
Identität nur herausgebildet werden kann, wo menschliches Leben bereits beginnt zu existieren. 
Anders sieht Dreier, Bioethik, S. 40 f diesen Zustand dagegen als Vorhandensein mehrerer 
Dividuen, da die Individuisierung erst zum Zeitpunkt der Nidation eintritt. 

126 Mit einem zurückspulbaren Film vergleichend Zarr, Menschenwürde, S. 113. 

127 BVerfGE 39, 1 (37). 
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Literatur'”® vermeintlich trennscharf!”” den Beginn des Lebens in der Nidation 
sehen. Vermeintlich ist dies nämlich im Falle einer nicht erfolgreichen Nidation: 
Folgt man der letztgenannten Ansicht, so würde es sich bei verschmolzenen Zellen 
und dem dadurch begonnenen Zellteilungs- und Entwicklungsprozess nicht um 
beginnendes Leben - einen Menschen iSd GG - handeln.'?" Es würde also nach 
dieser Verfassungsauslegung geradewegs unterschieden werden zwischen lebens- 
fähigem und nicht lebensfähigem Zellmaterial. Zwar ist die Nidation geradezu 
existentiell, wenn es um die weitere Entwicklung geht. Die aufgrund derartigen 
Begriffsverständnisses vertretene Auffassung widerspricht allerdings dem durch 
die Verfassung und Art. 1 Abs. 1 GG verkörperten Wert des Menschen. Der 
Mensch darf in keinster Weise und zu keiner Zeit objektifiziert werden.'?! Dies 
würde er vorliegend allerdings, wenn über ihn aus rein pragmatisch-vernünftigen 
Gesichtspunkten noch vor seiner Geburt entschieden würde und der Begriff des 
Menschen nicht bereits ab der Kernverschmelzung angenommen wird. Derart 
differenzierend dürfen sich die hoheitlichen Gewalten nicht über den Prozess 
des Lebens stellen und dementsprechend „Erfolgsaussichten“ aus einer Nidation 


128  Murswieck in: Sachs, GG, Art. 2, Rn. 145 f, Windhorst in: Gröpl/Windthorst/von Coelln, StuKo 
GG, Art. 1, Rn. 16; Hufen, Staatsrecht II, $ 10, Rn. 25 sowie ders. Hufen, JZ 2004, 313 (315 f); 
zu einzelnen Begründungsansätzen Müller-Terpitz, Schutz pränatalen Lebens, S. 145 ff mwN; 
offenlassend dagegen Zippelius in: Kahl/Waldhoff/Walter, BonnK GG, Art. 1 I und II, Rn. 51. 

129  Vermeintlich trennscharf ist die Argumentationslinie im Weiteren auch hinsichtlich einer Tren- 
nung von Menschenwürde des Art. 1 Abs. 1 GG und Lebensschutz gem. Art. 2 Abs. 2 S. 1 
GG: Leider wird häufig die Linie zwischen beiden Gütern verklärt, sodass wegen des abzu- 
lehnenden Schutzes des Lebens in dieser Entwicklungsphase unter Betrachtung der Rechtslage 
von ESchG und $$ 218 ff StGB auch die Menschenwürde entfiele. Dabei wird übersehen: 
Nicht jede Verletzung des Lebens geht mit einer Würdeverletzung einher, wenngleich die Men- 
schenwürde gewissermaßen das Leben voraussetzt — vgl. Kloepfer, JZ 2002, 417 (420) sowie 
Müiller-Terpitz, Schutz pränatalen Lebens, S. 359 f. 

130 Eine Grundrechtsträgerschaft erst ab Geburt annehmend Dreier in: Dreier, GG, Art. 1 I, 
Rn. 64, 66 f, Ipsen, DVBl 2004, 1381 (1384); Zarr, Menschenwürde, S. 91 f mwN. 

131 In stRspr BVerfGE 9, 89 (95); 27, 1 (6); 28, 86 (391); 45, 187 (28); 50, 166 (175); 87, 209 
(228); 96, 375 (399); 109, 133 (150); 115, 118 (53); 117, 71 (89); 131, 268 (286 f). Zu den 
Grenzen der Objektformel siehe auch BVerfGE 109, 279 (312). 
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schließen.'?* Eine solche Denkrichtung verbietet sich schon anhand der histo- 
rischen Wurzeln des Art. 1 Abs. 1 GG,!? zumal Grundrechte insgesamt „Re- 
aktionen auf historische Gefährdungslagen durch den Staat“ darstellen'>*. Die 
Formulierung des Art. 1 Abs. 1 GG enthält mit seiner pauschalen Aussage, der 
„Mensch“ sei geschützt, gleichermaßen ein Diskriminierungsverbot bezüglich 
physischer, psychischer oder moralischer Aspekte. Demgemäß kann die Rolle 
des Entscheidenden über das Dasein als Mensch nicht Teil der Aufgaben des 
Staates gem. Art. 1 Abs. 1 sowie 2 Abs. 2 S. 1 GG sein. Vielmehr hat er die 
Prämisse, jedes Leben zu schützen und mit Beginn des Prozesses Leben auch 
entsprechende Werte der Anerkennung einer Würde einfließen zu lassen. Gerade 
die Würde bedarf keiner aktiven Wahrnehmung des Schutzes oder einer anderen 
Fähigkeit.'?° Dementsprechend lässt sich der Verfassung eine möglichst weite 
Auslegung entnehmen, um einen größtmöglichen Schutz zu gewährleisten. Eine 
Entscheidung, ob und wann menschliches Leben vorliegt, kann daher lediglich 


132 So auch Linke, JuS 2016, 888 (889). Zudem gebietet sich dies schon aufgrund rückblickend auf 
den Holocaust während des Zweiten Weltkrieges nicht. Vgl. auch die Entstehungsgeschichte 
des Art. 2 Abs. 2 S. 1 GG - BVerfGE 39, 1 (38 ff). 

133 Vgl. Hofmann in: Schmidt-Bleibtreu/Hofmann/Henneke, GG-Kommentar, Art. 1 GG, Rn. 1; 
Hufen, JZ 2004, 313 (313). 

134 BVerfGE 6, 55 (71); 27, 71 (84); Jellinek, System der subjektiv öffentlichen Rechte, S. 95; 
Böckenförde, NIW 1974, 1529 (1537). 

135 Höfling in: Sachs, GG, Art. 1, Rn. 56. Vgl. Nettesheim, JZ 2019, 1 (5); Zarr, Menschenwürde, 
S. 112 sowie bzgl. des Lebensschutzes Müller-Terpitz in: Isensee/Kirchhof, HStR VII, $ 147, 
Rn. 21 ff. 

136 BVerfGE 39, 1 (41); 88, 203 (252). 
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aus biologischen Gesichtspunkten beurteilt werden.'?’ Folglich sprechen die dar- 


gelegten Argumente und sowie die Verfassung für eine pränidative Sichtweise. 138 


Mit einem solch weiten Verständnis des Menschenwürdeschutzes entstehen al- 
lerdings Konfliktlagen oder gar Widersprüche, die wiederum gegen einen weiten 
Anwendungsbereich der Menschenwürde sprechen. Dies zeigt sich bereits am Bei- 
spiel des Präparats zur postkoitalen Empfängnisverhütung (ugs. „Pille danach“): 
Dieses Präparat dient dazu, eine ungewollte Befruchtung aufgrund mangelnder 
Verhütung oder anderer Probleme zu verhindern. Das Recht zu diesem Handeln 
entspringt dem Persönlichkeitsrecht sowie der Verfügungsgewalt der Mutter über 
den eigenen Körper.'?” Ebenso lässt sich eine Abwägung zu Gunsten des Embryo 
oder der Vorstufen nur schwer rechtfertigen. Der Staat darf der Mutter nicht vor- 
schreiben, aus Gründen der Unabwägbarkeit der (embryonalen) Menschenwürde 


137 Höfling in: Sachs, GG, Art. 1, Rn. 61; vgl. auch Hillgruber in: Epping/Hillgruber, BeckOK 
GG, Art. 1, Rn. 4; Stern, StaatsR IV/1, S. 145; Isensee in: Merten/Papier, HGr IV, $ 87, 
Rn. 206; Gropp, Schutzkonzepte des werdenden Lebens, S. 239; Müller-Terpitz, Schutz prä- 
natalen Lebens, S. 339 ff. Vollständig ablehnend dagegen Merkel in: Kindhäuser/Neumann/ 
Paeffgen, StGB, Vor $ 218, Rn. 15. 

138 So iE auch Hillgruber in: Epping/Hillgruber, BeckOK GG, Art. 1, Rn. 4; Höfling in: Sachs, GG, 
Art. 1, Rn. 61; Isensee in: Merten/Papier, HGr IV, $ 87, Rn. 206 sowie Huber in: Merten/ 
Papier, HGr II, $ 49, Rn. 9; Kloepfer, VerfR II, $ 57, Rn. 5; Schlink, Aktuelle Fragen des 
pränatalen Lebensschutzes, S. 8; Zarr, Menschenwürde, S. 110 ff; vgl. auch Hubmann, Per- 
sönlichkeitsrecht, S. 337 ff. Aufgrund des Fortschreitens moderner Technologien gar einen 
„präexistentiellen“ Schutz annehmend Dierlein, Die Lehre von den grundrechtlichen Schutz- 
pflichten, S. 125. Weiter erscheint dies auch Angesichts der Formulierung des $ 8 Abs. 1 
ESchG im Rahmen der einheitlichen Rechtsordnung konsequent: „Als Embryo im Sinne dieses 
Gesetzes gilt bereits die befruchtete, entwicklungsfähige menschliche Eizelle vom Zeitpunkt 
der Kernverschmelzung an (...)“ — kritisch hierzu Zarr, Menschenwürde, S. 78. Dies wohl voll- 
umfänglich ablehnend aufgrund der De-Subjektivierung der Menschenwürde Nettesheim, JZ 
2019, 1 (6/7). 

139 Vgl. BVerfGE 39, 1 (42); 88, 203 (214, , 255 f, 348); Hofmann in: Schmidt-Bleibtreu/Hofmann/ 
Henneke, GG-Kommentar, Art. 1, Rn. 12, 21; Schlink, Aktuelle Fragen des pränatalen Lebens- 
schutzes, S. 8 f, 10; zur Kollision der Interessen des Embryos sowie der Frau/Mutter siehe auch 
Gropp, Schutzkonzepte des werdenden Lebens, S. 299 ff, Classen, DÖV 2009, 689 (691) sowie 
vgl. Holzwarth, Das Recht auf ungestörte Familienplanung als Konkretisierung des zivilrecht- 
lichen allgemeinen Persönlichkeitsrechts, S. 6, 115 f. 
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des Art. 1 Abs. 1 S. 1 GG!* das Kind zu gebären — dies käme einem schwerwie- 
genden Grundrechtseingriff gleich. Dennoch müssen diese und ähnliche Hand- 
lungsweisen engen Voraussetzungen unterstellt werden, um dem hohen Gut des 
werdenden Lebens Rechnung zu tragen.'*! Sie dürfen gewissermaßen nicht einem 
üblichen Gang zum Arzt gleich kommen.!*? Andernfalls würde die Geburt und 
der werdende Mensch objektifiziert; ob das Kind geboren wird, hinge so nur noch 
vom Willen der Mutter ab und nicht vom bereits bestehenden Menschen-Dasein 
im Mutterleib. Würde nun dementgegen ein hoher, umfangreicher Menschenwür- 
deschutz unter Einbeziehung des Rechtsguts Leben für den werdenden Menschen 
im Leib der Mutter angenommen, so ließe sich der Vertrieb und das Angebot der 
„Pille danach“ nur schwer begründen. 143 Schließlich handele es sich dann bereits 
um einen Menschen, dessen Tötung gem. $ 212 Abs. 1 StGB strafbar und auch 
mit dem telos der $$ 218 ff StGB unvereinbar!** wäre. Gegen die Erläuterungen 
zur Problematik sei jedoch allumfassend ins Feld zu führen, dass trotz der Bestim- 
mung des Beginns der Menschenwürde anhand biologischer Prozesse Art. I Abs. 1 
S. 1 GG und Art. 2 Abs. 2 S. 1 GG voneinander entkoppelt zu betrachten sind 
— mit der Verletzung des Rechts auf Leben und körperliche Unversehrtheit geht 
grundsätzlich nicht die Verletzung der Menschenwürde einher.'#° Denn während 


140 Hierzu Höfling in: Sachs, GG, Art. 1 GG, Rn. 11 mwN auf BVerfGE 75, 369 (380) sowie 
Zippelius in: Kahl/Waldhoff/Walter, BonnK GG, Art. 1 I und II GG, Rn. 37 ff. Weiterhin ist 
dies abweichend von BVerfGE 88, 203 (255) anzunehmen — hierzu ausführlich Merkel in: 
Kindhäuser/Neumann/Paeffgen, StGB, Vor $ 218, Rn. 17 f. 

141 Hierzu Hofmann in: Schmidt-Bleibtreu/Hofmann/Henneke, GG-Kommentar, Art. 1 GG, Rn. 
22. 

142 BVerfGE 39, 1 (44). 

143  Hinterfragend auch von Lutterotti, Schutz des menschlichen Lebens, S. 12 (S. 20 f); zur 
Problematik im Rahmen des Embryo in vitro Gropp, Schutzkonzepte des werdenden Lebens, 
S. 232 f. 

144 Vgl. Fischer, StGB-Kommentar, Vor $$ 218-219b, Rn. 2 f, Eschelbach in: von Heintschel- 
Heinegg, BeckOK StGB, $ 218, Rn. 1. 

145 So auch Classen, DÖV 2009, 689 (697) bzgl. der Abtreibung sowie Höfling in: Sachs, GG, 
Art. 1, Rn. 69; Dreier, Bioethik, S. 37. Zur Entkoppelung von Würde- und Lebensschutz siehe 
Miüiller-Terpitz, Schutz pränatalen Lebens, S. 343, 359 ff sowie Isensee in: Merten/Papier, HGr 
IV, $ 87, Rn. 202 — jeweils berechtigterweise eine Entkoppelung ablehnend, da sich diese 
anhand einer sauberen Definition und Differenzierung des materiellen Gehaltes nicht bedarf. 
Vgl. auch die Gegenüberstellung der Schutzgüter von Schlink, Aktuelle Fragen des pränatalen 
Lebensschutzes, S. 10 f. 
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das Recht auf Leben und körperliche Unversehrtheit die biologisch-physischen 
Aspekte des Menschen schützt, !* bezieht sich die Menschenwürde auf den all- 
gemeinen Achtungsanspruch des Menschen kraft seines Daseins'!*’. Im Falle der 
„Pille danach“ ist daher mit Abtötung befruchteter Zellen ein Verstoß gegen das 
Recht auf Leben feststellbar'*°, aber keine Beeinträchtigung der Menschenwürde 
iSd Art. 1 Abs. 1 S. 1 GG. Es bedarf folglich auch keiner Überlegung hinsichtlich 
eines abgestuften Schutzes der Menschenwürde!*?, da es zu keiner aufzulösenden 
Kollision der Grundrechtsbereiche kommt. Folglich verbleibt dem Embryo schon 
mit Beginn seiner Entstehung ein Menschenwürde-Schutz aus Art. 1 Abs. 1 S. 1 
GG, der sich nur auf einzelne Aspekte des Achtungsanspruchs erstreckt. Wird 
letztlich das Versagen der Würdefähigkeit vertreten, so muss zumindest aus da- 
tenschutzrechtlicher Sicht eine pränatale Reflexwirkung bedacht werden. 


In der Summe ergibt sich ein zeitlich umfangreicher Schutz natürlicher Personen 
und der damit verbundenen analogen Identität, von der Kernverschmelzung bis 
zum Tod und (zeitweise) darüber hinaus. In pränataler wie postmortaler Hinsicht 


146 BVerfGE 56, 54 (73 ff); Lang in: Epping/Hillgruber, BeckOK GG, Art. 2, Rn. 58, 62. 

147 Vgl. BVerfGE 30, 173 (194); 87, 209 (228); BVerfGK 9, 83 (88); Gersdorf in: Gersdorf/ 
Paal, BeckOK InfoMedienR, Art. 2 GG, Rn. 30. 

148 Die Tötung ist hingegen mit Art. 2 Abs. 2 S. 1 GG vereinbar, da sich aus der Abwägung im 
Rahmen der Verhältnismäßigkeit strenge Voraussetzungen ergeben, wie sie in den $$ 218 ff 
StGB normiert sind. Mithin beginnt das Leben nach den $$ 218 ff StGB erst mit Nidation, 
weshalb eine Tötung zuvor unproblematisch ist — Eschelbach in: von Heintschel-Heinegg, Be- 
ckOK StGB, $ 218, Rn. 2; Dreier, Bioethik, S. 38 f. Hierzu BVerfGE 39, 1 (48) sowie 88, 203 
(261 ff, 266 f). 

149 Den Stufenschutz bejahend Hufen, Staatsrecht II, $ 10, Rn. 25; Zarr, Menschenwürde, S. 119 f; 
Müiller-Terpitz, Schutz pränatalen Lebens, S. 349 ff; vgl. hinsichtlich des Art. 2 Abs. 2 S. 1 GG 
Schlink, Aktuelle Fragen des pränatalen Lebensschutzes, S. 8, 10, 13 ffsowie Dreier, ZRP 2002, 
377 (379 f); Herdegen, YZ 2001, 773 (778 f), als Grundrechtsanwartschaft bezeichnend Kloep- 
fer, JZ 2002, 417 (420). Hofmann in: Schmidt-Bleibtreu/Hofmann/Henneke, GG-Kommentar, 
Art. 1 GG, Rn. 11 dagegen erstreckt die Abstufung auf den gesamten Grundrechtekatalog, 
sodass Art. 2 Abs. 2 S. 1 und 1 Abs. 1 GG den Basisschutz darstellen. 
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erstreckt sich ein verfassungsrechtlicher Schutz zumindest auf Art. 1 Abs. 1 GG. 


Diese Reichweite sucht ihresgleichen im europäischen Raum. !5° 


2. Die Transponierung in die digitale Welt 


Entscheidend ist für den Schutz der digitalen Identität allerdings, inwieweit sich 
die analogen Schutzaspekte in die digitale Welt übertragen lassen, oder ob dies 
überhaupt möglich ist. 


Als (metaphorische) Leitlinie dient auch an dieser Stelle der Lebenszyklus des 
Menschen, denn auch bei digitalen Identitäten lässt sich ein sog. Lifecycle erken- 
nen!!: Das Stadium der Geburt ist durch das Erschaffen der digitalen Identität 
geprägt, beispielsweise mittels der erstmaligen Registrierung oder Nutzung der 
Plattform eines Diensteanbieters wie einer Online-Suchmaschine. Einzelne Para- 
meter und Attribute einschließlich erteilter Rechte und Pflichten werden während 
dieses Prozesses festgelegt und ggf. durch Opt-In- oder -Out-Möglichkeiten mo- 
difiziert.'°” Darin findet sich die Parallele in der Verschmelzung von Ei- und 
Samenzelle bei der Entstehung des Menschen und die nachfolgende Ausbildung 
der DNA. Anschließend erfolgt der Abschluss des Vorgangs und die Freischal- 
tung des mit der Identität verknüpften Accounts - die digitale Identität tritt in die 


150 Die EMRK enthält insoweit keinen ausdrücklichen Schutz der Menschenwürde. Stattdessen 
lassen sich einzig Elemente des deutschen Menschenwürdeschutzes aus Art. 3 oder 8 EMRK 
herauslesen; das Gebot durchdringt die Konventionsfreiheiten in ihrer Gesamtheit. Die erläuter- 
te Problematik könnte mit der EMRK folglich kaum gelöst werden. Aufseiten der GrC findet sich 
die Menschenwürde dagegen in Art. 1 S. 1 GrC wieder. Aufgrund der selbigen Formulierung 
würden sich die dargestellten Ausführungen in Verbindung mit Art. 2 Abs. 1 GrC stark ähneln. 
Dennoch bleibt aufgrund der Streitigkeit des Lebensbeginns und unterschiedlichen Regelungen 
in den europäischen Staaten der Schutz hinter dem des GG zurück. — Vgl. Richter in: Dörr/ 
Grote/Marauhn, EMRK-GG-Kommentar, Kapitel 9, Rn. 24 ff; Meyer-Ladewig/Nettesheim/von 
Raumer, EMRK-Kommentar, Art. 8, Rn. 10; Streinz in: Streinz, EUV/AEUV-Kommentar, Art. 
1 GrC, Rn. 4 ff; Voet van Vormizeele in: Schwarze, EU-Kommentar, Art. 1 GrC, Rn. 4 ff sowie 
Art. 2 GrC, Rn. 5. 

151  Grundlegend hierzu die Ausführungen von Hansen/Meints, DuD 2006, 543 (544 f). 

152 Zum Entstehungsprozess unter Differenzierung zwischen nutzerdefinierten und systemgene- 
rierten Daten siehe Doring, Sozialpsychologie im Internet, S. 342 f. Exemplarisch hierfür die 
Erstellung eines Facebook-Accounts, siehe Kühnl, Persönlichkeitsschutz 2.0, S. 21 ff. 
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Phase des Lebens ein. Darunter ist die grundlegende Verwendung der digitalen 
Identität zu verstehen, wobei sich hier ggf. Differenzierungen anhand der dahin- 
terstehenden analogen Person(en) ergeben.'°? Ungeachtet dessen ist das Leben 
auf den Einzelfall der digitalen Identität beschränkt und die Ausgestaltung durch 
die Plattform einzubeziehen. Abschließend: Der Tod der digitalen Identität. Er 
tritt in der Regel erst ein, indem die analoge Person hinter der digitalen Identi- 
tät die Aufgabe der digitalen Identität durch Deaktivierung oder Löschung dem 
Plattformbetreiber mitteilt. Vereinzelt bleiben die während des Lebens erstellten 
Daten und Verbindungen noch für einen gewissen Zeitraum gespeichert, um bspw. 
Interaktionen mit anderen digitalen Identitäten weiterhin zuordnen zu können. 154 
Entsprechend dem menschlichen Dasein nach dem Tod in der analogen Welt ver- 
bleibt letztlich eine „digitale Hülle“ auf dem Server und wird — wortwörtlich — 
zur sog. „Karteileiche“. 


Überblickshaft sei nun der digitale Lebenszyklus anhand der analogen verfas- 
sungsrechtlichen Belange abzugleichen und die zeitliche Reichweite auf ihre Kor- 
relation hin zu überprüfen. Zunächst kann entgegen der Reihenfolge des Lebens- 
zyklus vorweggenommen werden, dass, soweit sich die Nutzung der digitalen 
Identität durch eine natürliche Person als Ausübung der Persönlichkeitsentfaltung 
ansehen lässt, keine grundlegende Unanwendbarkeit besteht. Dies kann zumindest 
schon daraus gefolgert werden, als dass Wechselwirkungen zwischen digitaler und 
analoger Identität nicht ohne Einfluss auf eine Grundrechtsausübung bleiben. !55 
Ob sich einzelne Grundrechtsgehalte hingegen auf die digitale Identität in isolier- 
ter Form oder iVm der analogen Person übertragen lassen, ist im Einzelnen später 
zu untersuchen.'6 Der verfassungsrechtliche Schutz während der Lebensphase 
der digitalen Identität ist damit vorerst anzunehmen. 


153 Dazu Hansen/Meints, DuD 2006, 543 (544 f). 

154  Hansen/Meints, DuD 2006, 543 (545). Vgl. auch die Archivzwecke iSd Erwägungsgrundes 158 
der DSGVO, z.B. zu Zwecken der Strafverfolgung iSd $$ 45 S. 1, 50 BDSG iVm Art. 4 Abs. 3 
RL (EU) 2016/680 (JI-Richtlinie). 

155 Vgl. Humer, Identitätsarbeit in digitalen Systemen, S. 150. 

156 Sub Kapitel D.I. 
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a) Der postmortale Schutz der digitalen Identität 


Der Tod der digitalen Identität ist dagegen in Beziehung zur Thematik des post- 
mortalen Persönlichkeitsrechts zu setzen. Dieses schützt, wie erwähnt, den Ver- 
storbenen in seinem Achtungsanspruch und erworbenen Geltungsanspruch in der 
Gesellschaft. Anhand der Wechselwirkung des digitalen und analogen Lebens ist 
die digitale Prägung der Persönlichkeit einschließlich der digitalen Identitäten, 
welche zu Lebzeiten entstanden sind, betrachtenswert. Es ist fraglich, ob oder 
wie die Möglichkeit eines postmortalen Schutzes der digitalen Identität besteht — 
beispielsweise im Sinne eines postmortalen Datenschutzes oder als Teil des digi- 
talen Nachlasses. Der postmortale Datenschutz bezieht dahingehend Art. 1 Abs. 1 
GG ein, als dass sich auch aus der Nutzung der Informationstechnik zu Lebzeiten 
und Vertrauen in deren Sicherheit und Funktion Reflexwirkungen ergeben kön- 
nen. Diese entstehen immer dann, wenn sich ein Grundrecht seinem materiellen 
Gehalt nach auch auf postmortale Angelegenheiten erstrecken kann.'?’ Sedes ma- 
teriae des (verfassungsrechtlichen) Datenschutzrechts ist allerdings nicht Art. 1 
Abs. 1 GG, sondern Art. 2 Abs. 1 iVm 1 Abs. 1 GG.!58 Bei der Anwendung des 
Persönlichkeitsrechts auf postmortale Sachverhalte begegnet man der Problema- 
tik der mangelnden Handlungsfähigkeit Verstorbener, welche nach dem Aspekt 
des Allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 GG aber erforderlich 
ist. So wird nach Wortlaut der Verfassung das Leben der Person vorausgesetzt, 
wo die Entfaltung doch ein bewusst gestaltendes Element des Grundrechtsträgers 
meint. Daraus resultierend wird in Rechtsprechung"? und Literatur! einhellig 
das postmortale Persönlichkeitsrecht auf Art. 1 Abs. 1 gestützt - folglich also 


157  Spilker, DÖV 2015, 54 (54). 

158 BVerfGE 65, 1; Spilker, DÖV 2015, 54 (56); Gurlit, NJW 2010, 1035 (1036), jedoch um 
(technische) Aspekte der Art. 10, 13 GG erweiternd. 

159 BVerfGE 30, 173 (194). 

160 Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2, Rn. 226; Gersdorf in: Gersdorf/Paal, Be- 
ckOK InfoMedienR, Art. 2 GG, Rn. 31; Boksanyi/Koehler in: Wandtke/Ohst, Medienrecht 
Praxishandbuch, $ 3, Rn. 25 ff, Brändel in: Götting/Schertz/Seitz, Handbuch des Persönlich- 
keitsrechts, $ 37, Rn. 3 f. Scheinbar eigenständig aus Art. 1 Abs. 1 GG ableitend Culmsee, DS- 
RITB 2013, 413 (413 f). Ablehnend dagegen, da auch aktive Elemente aufweisend Ladeur in: 
Götting/Schertz/Seitz, Handbuch des Persönlichkeitsrechts, $ 8, Rn. 55. 
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nur auf Aspekte aus der Menschenwürde, nicht der Entfaltung der Persönlichkeit. 
Einzig hinsichtlich der selbstbestimmten Entscheidung des Lebensendes sieht das 
Bundesverfassungsgericht eine Verankerung in Art. 2 Abs. 1 iVm 1 Abs. 1 GG 
mit entsprechend stärkerer Lesart des Menschenwürdegehaltes.'6! Das Recht der 
informationellen Selbstbestimmung als verfassungsrechtliches Datenschutzrecht 
weist aber überwiegend eine Verankerung in Art. 2 Abs. 1 GG auf, entsteht 
durch bewusstes Steuern mittels ausgewählter Informationspreisgabe doch die 
beabsichtigte Darstellung der eigenen Persönlichkeit in Form der digitalen Iden- 
tität. Konsequent würde sodann die informationelle Selbstbestimmung verneint 
werden, ein ausschließlich postmortaler Datenschutz entfallen. Diese Folgerung 
unterstützt scheinbar auch der Wortlaut des BDSG a.F., richtet sich dieses gem. 
$ 3 Abs. 1 BDSG a.F. an eine „bestimmte natürliche Person“, setzt also eine 
lebendige Person voraus.'6? Ähnlich spricht Art. 4 Nr. 1 DSGVO von einer identi- 
fizierbaren natürlichen Person. Explizit schließt Erwägungsgrund 27 der DSGVO 
ausdrücklich die Anwendung auf Daten Verstorbener aus.!® Die Reflexwirkung 
wirkt vorliegend aber so, dass zu Lebzeiten getroffene Entscheidungen im Rah- 
men der informationellen Selbstbestimmung und der digitalen Identität sich auch 
auf die Zeit nach dem Tod erstrecken. 164 „[D]ie Vorsorge des Lebenden für die 
Zeit nach seinem Tod gehört [zumindest] zur allgemeinen Handlungsfreiheit des 
Menschen.“!6 Der datenschutzrechtliche prämortale Reflex folgt allein schon 
daraus, dass nicht jeder Diensteanbieter in seinen AGB Regelungen für einen 
Gedenkstatus!® oder eine automatische Löschung bei Meldung des Todes oder 


t167 


Inaktivität ®” vorsieht. Der Tod des Nutzers und Inhabers der digitalen Identität 


wird nur selten gegenüber allen Diensteanbietern kommuniziert werden können, 


161 Hierzu grundlegend BVerfG, Urteil v. 26.2.2020 — Az. 2 BvR 2347/15 u.a. —, Rn. 204 ff. 

162 So auch Schild in: Wolff/Brink, BeckOK DatenschutzR (23. Edition), $ 3 BDSG, Rn. 5 unter 
Verweis auf die Klarstellung in Artikel 29-Datenschutzgruppe, Opinion 4/2007 on the concept 
of personal data. Anders dagegen Culmsee, DSRITB 2013, 413 (416). 

163 Hierzu Spilker, DÖV 2015, 54 (57 f). 

164 Vgl. Spilker, DÖV 2014, 637 (640) sowie Spilker, DÖV 2015, 54 (54 f); Martini, JZ 2012, 
1145 (1151). 

165 BVerfGE 50, 256 (262). 

166 So z.B. Facebook, siehe https://de-de.facebook.com/help/103897939701143?helpref=faq_co 
ntent. 

167 So z.B. Xing — zu weiteren Diensteanbietern vgl. Martini, JZ 2012, 1145 (1146). 
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folglich verbleibt die digitale Hülle auf Ewig für den Diensteanbieter nutzbar.!® 
Die mit dem postmortalen Persönlichkeitsrecht zu vermeidende „Ausbeutung“ 
des Toten wäre dann in digitaler Hinsicht dennoch gegeben, das in der analogen 
Welt erreichte Schutzziel nicht konsequent umgesetzt.!® Eine Erweiterung der 
Entscheidungsmöglichkeiten neben dem Erbrecht gem. Art. 14 Abs. 1 S. 1 GG 
sowie selbstbestimmungsrechtlichen Aspekten nach dem Tod in Form der Organ- 
spende, der Patientenverfügung oder der Beisetzung iSv Art. 2 Abs. 1 iVm 1 
Abs. 1 GG - welche allesamt auf Reflexwirkungen basieren — auf digitale Sach- 
verhalte erscheint daher nur konsequent und vorausschauend.'”® Folglich kann 
für digitale Identitäten nach der hier vertretenen Auffassung nach Möglichkeit 
ein Schutz nach postmortalem Datenschutzrecht kraft Reflexwirkung der Art. 2 
Abs. 1 iVm 1 Abs. 1 GG angenommen werden.!7! 


Der postmortale Schutz der digitalen Identität betrifft allerdings auch Aspekte 
des digitalen Nachlasses. Grundlegend meint die Formulierung nach bisheriger 
Auseinandersetzung in der Literatur den Übergang der Gesamtheit des digitalen 
Vermögens, einschließlich der Immaterialgüterrechte, diesbezüglicher Vertrags- 
verhältnisse sowie des gesamten elektronischen Datenbestandes des Erblassers.!7? 
Folglich könnte auch die digitale Gesamt-Identität bzw. jede digitale Identität auf 
die Erben über gehen, sei es aufgrund der Erbschaft der Vertragsverhältnisse oder 
des Datenbestandes einschließlich der Login-Daten bzw. der Daten auf Servern 
der Diensteanbieter. Die Möglichkeit des Erbfalles an digitalen Identitäten reicht 


an dieser Stelle bereits aus, um den zeitlichen Aspekt des postmortalen Schutzes 


168 Die Daten des Nutzers können nach datenschutzrechtlichen Vorschriften und verfassungsrecht- 
lichen Maßstäben im Rahmen der erteilten Einwilligung genutzt werden. Wird diese nicht 
widerrufen oder auf andere Weise nichtig, bleibt die Nutzungsmöglichkeit bestehen. Aus dem 
Tod einen konkludenten Widerruf herauszulesen scheitert schon deshalb, weil der Tod faktisch 
schon keine willentliche Äußerung oder bewusste Entscheidung des Menschen sein kann (von 
der Selbsttötung ggf. abgesehen). 

169 Ähnlich auch Sorge, MMR 2018, 372 (377). 

170 So iE auch Spilker, DÖV 2015, 54 (55 f) sowie vgl. Spilker, DÖV 2014, 637 (640). 

171 Ebenso Spilker, DÖV 2015, 54 (59 f); Arens, RDV 2018, 127 (130 f); als wesensgleiches Minus 
des Persönlichkeitsrechts bezeichnend Martini, JZ 2012, 1145 (1150). Ungenau dagegen ein 
Regel-Ausnahme-Verhältnis zugunsten des Erben des digitalen Nachlasses vorschlagend Klas/ 
Möhrke-Sobolewski, NIW 2015, 3473 (3476 f). 

172  Klas/Möhrke-Sobolewski, NIW 2015, 3473; Herzog, NJW 2013, 3475 (3475). 
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digitaler Identitäten zu bejahen. Während sich Literatur!7? und Rechtsprechung! ”* 
uneinig sind hinsichtlich der Reichweite des Schutzes, besteht hingegen Einigkeit 
darin, dass die Universalsukzession gem. $ 1922 BGB ebenfalls die digitalen 
Verhältnisse einbezieht. Ob und wie die Ausgestaltung des digitalen Nachlasses 
in verfassungsrechtlicher Hinsicht unter Bezug auf die digitalen Identitäten gege- 
ben ist, ist an späterer Stelle zu erörtern!75, sodass auch hier die Möglichkeit des 
verfassungsrechtlichen Schutzes anzunehmen ist. 


Zusammenfassend lässt sich in den aufgezeigten Grundsätzen ein entsprechend 
digitaler Bezug erkennen, weshalb sich dem postmortalen Persönlichkeitsrecht 
potentiell eine Schutz- bzw. Reflexwirkung auch hinsichtlich der digitalen Identität 
entnehmen lässt. 


b) Pränataler Schutz der digitalen Identität 


Da dem Anfang stets ein gewisser Zauber inne wohnt, ist nunmehr auf die Geburt 
der digitalen Identität und deren verfassungsrechtlicher Repräsentation einzuge- 
hen. Die Erstellung von Accounts einschließlich der erstmaligen Preisgabe rele- 
vanter Informationen ist Teil des informationellen Selbstbestimmungsrechts des 
Art. 2 Abs. 1 iVm 1 Abs. 1 GG, sofern in die Datenweitergabe und -nutzung hinrei- 
chend eingewilligt wurde. Problematisch ist dieser Einwilligungsvorgang jedoch 
dann, wenn die Einwilligung entgegen der Vorgabe gerade nicht auf Basis einer 
umfangreichen Kenntnis um den Verbleib und die Nutzung der Daten!”® erfolgt. 
Im Falle digitaler Identitäten könnte sodann die Weitergabe der Informationen 
von Kindern problematisch sein, insbesondere im pränatalen Zustand. 


173 _ Müller-Christmann in: Hau/Poseck, BeckOK BGB, $ 1922, Rn. 99 f, Herzog, NIW 2013, 3745 
(3746, 3748 f); Klas/Möhrke-Sobolewski, NIW 2015, 3473 (3474 f). Erstmals zur Problematik 
Hoeren, NJW 2003. 

174 LG Berlin CR 2017, 122 sowie zuletzt KG Berlin CR 2017, 454. 

175 Sub Kapitel D.1.1.d). 

176 Vgl. § 4a Abs. 1 S. 1 BDSG a.F., Art. 7 Abs. 2, Abs. 4 DSGVO. 
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Bei der Entstehung einer digitalen Identität eines Kindes durch Weitergabe von 
Informationen jeglicher Art an Diensteanbieter müsste sodann ebenfalls die infor- 
mationelle Selbstbestimmung des Art. 2 Abs. 1 iVm 1 Abs. 1 GG zur Anwendung 
kommen. Einzig die Grundrechtsmündigkeit könnte diesbezüglich bezweifelt wer- 
den, würde dem Kind überlassen werden, ob sein Foto bei Facebook oder einem 
anderen Diensteanbieter mit entsprechender gesellschaftlicher Reichweite veröf- 
fentlicht werden soll. Denn die Grundrechtsmündigkeit setzt voraus, dass der 
Grundrechtsträger selbst und eigenverantwortlich von seinen Grundrechten Ge- 
brauch macht.!’”” Ähnlich der Einwilligung kommt es also auf die Verantwor- 
tungsfähigkeit und geistige Reife des Kindes an, um die Tragweite einer solchen 
Veröffentlichung zu verstehen. Da dies regelmäßig bezweifelt werden kann und 
auch ein Fragen und Erklären der Eltern hieran nichts zu ändern vermag, wäre 
auf das elterliche Erziehungsrecht aus Art. 6 Abs. 2 S. 1 GG zurückzugreifen. 
Dieses ist als dienende Freiheit funktional auf den Schutz des Kindes gerichtet 
und den schließt dessen Persönlichkeitsschutz ein.'’® Exemplarisch erwähnt sei 
bzgl. der besonderen Beachtung des Kindes im Datenschutzrecht Art. 8 Abs. 1 
S. 2 DSGVO, der die Verantwortlichkeit der Eltern für die Einwilligung des Kin- 
des in die Nutzung von Informationsdiensten regelt. Insoweit kommt den Eltern 


die — mit zunehmendem Alter des Kindes abnehmende!”? 


— Entscheidungsprä- 
rogative bezüglich der digitalen Identität des Kindes zu. In inhaltlicher Hinsicht 
steht der persönlichkeitsrechtliche Schutz des Kindes dem allgemeinen Persön- 
lichkeitsrecht in Nichts nach. Den Eltern muss aber die besondere Gefahrenlage 
der digitalen Identität in einem derart frühen Stadium sowie eine mögliche weitere 
Verarbeitung der Daten des Kindes bewusst sein. Ist dem nicht so, muss von Seiten 
der Diensteanbieter zumindest hierauf hingewiesen werden. Schließlich müssen 
sich Kinder, nachdem Eltern Teile ihres Lebens online im Rahmen ihrer eigenen 


digitalen Identität oder der des Kindes weitergegeben haben, auch während ihrer 


177  Kloepfer, VerfR II, $ 49, Rn. 24; Hufen, Staatsrecht II, $ 6, Rn. 41. 

178 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 7; vgl. Kloepfer, VerfR II, $ 67, 
Rn. 19, 30. Korrespondierend zu Art.6 Abs. 1 GG auf Grundlage der Kinderrechtskonvention 
dem Kind eine eigene schützenswerte Persönlichkeit zuerkennend Benassi/Eichholz, DVBl 
2017, 614 (616). 

179 Vgl. Badura in: Maunz/Dürig, GG-Kommentar, Art. 6, Rn. 135. 
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Entwicklung und als erwachsene Person frei von Öffentlicher Beobachtung fühlen 
und entfalten können. Demgemäß besteht ein umfangreicher Schutz des Kindes 
hinsichtlich seiner digitalen Identität(en). 


Obschon einem Kind zumindest im Ursprung ein eigenständiges, da handlungs- 
fähiges, Persönlichkeitsrecht zukommt, wird ein pränataler Persönlichkeitsschutz 
gelegentlich abgelehnt'®°. Dennoch besteht auch in diesem frühen Stadium als 
Ausfluss des Achtungsanspruchs des Art. 1 Abs. 1 GG ein Schutz der pränata- 
len Persönlichkeit.'®! Neben der bereits dargelegten, zeitlich weit zu verstehende 


Schutzwirkung der Menschenwürde'®? 


spricht dafür, dass aufgrund werdenden 
Lebens von einer „potentiellen oder zukünftig handlungsfähigen Person“! aus- 
zugehen ist. Daher kommt der Achtungsanspruch des Menschen dem Ungeborenen 
in dieser Phase seines physisch-psychischen Daseins mit Vorwirkung zu, die ge- 
wissermaßen als pränatale Reflexwirkung verstanden werden kann. Während die- 
ser Zeit anfallende Daten, welche von Dritten einer digitalen Identität zugeordnet 
werden und wodurch diese ggf. entsteht, sind sodann auch vom verfassungsrecht- 
lichen Schutz umfasst. Schließlich fallen die Informationen des Kindes, welche 
die Eltern während der Kindheit im Internet verteilt haben, auf das Kind selbst zu- 
rück. Die Verfügungsgewalt über die Daten geht mit zunehmendem Alter auf die 
Kinder über, vgl. Art. 6 Abs. 2 GG. Konsequent ist eine Möglichkeit des Schutzes 
digitaler Replikas auch auf Daten aus diesem Zeitraum zu erstrecken, beispiels- 
weise verbreitete (Ultraschall-)Bilder und Informationen des Kindes in sozialen 
Netzwerken. Darüber hinaus kommt ihnen als Konkretisierung des Rechts auf 
informationelle Selbstbestimmung ein datenschutzrechtlicher Schutz zu: Je nach 


180  Jarass in: Jarass/Pieroth, GG-Kommentar, Art. 2, Rn. 51; Dreier in: Dreier, GG, Art. 2 I, Rn. 
81; Kunig in: von Münch/Kunig, GG, Art. 2, Rn. 5. 

181 Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 2 I, Rn. 395; Di Fabio in: Maunz/Dürig, GG- 
Kommentar, Art. 2, Rn. 227. Aus Art. 2 Abs. 1 GG schließend dagegen Lang in: Epping/ 
Hillgruber, BeckOK GG, Art. 2, Rn. 49 — was allerdings mangels einer aktiven Einwirkungs- 
möglichkeit des Menschen im pränatalen Stadium abzulehnen ist. Andernfalls müssten persön- 
lichkeitsrechtliche Aspekte, welche der Embryo nicht wahrnehmen kann, ausgeschlossen oder 
anderweitig geltend gemacht werden. So fällt die Verwaltung der Informationen des Kindes 
auch während dieses Stadiums gem. Art. 6 Abs. 1 GG den Eltern zu. 

182 Siehe sub B.IL1. 

183 BVerfGE 30, 173 (194). 
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Sachlage handelt es sich um Gesundheitsdaten iSd Art. 9 Abs. 1 und des Er- 
wägungsgrundes 35 DSGVO (erneut: Ultraschallbild) oder auch allgemein um 
personenbezogene Daten, wie beispielsweise der Name des Kindes. Eine An- 
wendung des Art. 8 DSGVO scheidet dagegen schon faktisch aus, da ein Kind 
im pränatalen Stadium keine Informationsdienste wahrnehmen kann und folglich 
der Anwendungsbereich der Norm schon nicht eröffnet ist. Dennoch ist nach der 
Prämisse des Erwägungsgrundes 38 S. 1 DSGVO von einem hohen Schutz im 
Rahmen von Abwägungen auszugehen. 


Nun könnte sich während des pränatalen Zeitraums allerdings der Fall ergeben, 
dass bereits eine digitale Identität des Ungeborenen geschaffen wurde, das unge- 
borene Kind jedoch verstirbt. Daraufhin ist zu diskutieren, inwieweit einem noch 
nicht geborenen Menschen ein postmortaler Persönlichkeitsschutz im Rahmen 
des pränatalen Persönlichkeitsschutzes zukommt. Ein auf der gelebten Persön- 
lichkeit basierender Schutz iSd personalen und sozialen Geltungswertes ist schon 
nicht gegeben, da sich die Persönlichkeit des Ungeborenen nicht derart entwi- 
ckeln konnte. Zumindest ist diese nicht derart — sowohl analog als auch digital — 
nach Außen getreten, als dass die für eine Identität existenzielle Wechselwirkung 
hätte eintreten und so ein sozialer Geltungsanspruch entstehen können. Insofern 
ist zumindest auf den allgemeinen Achtungsanspruch zurückzugreifen, der jedem 
Menschen in jeder Lebensphase zukommt. Insbesondere bezüglich jener persön- 
lichkeitsrechtlicher Elemente, die diesen Achtungsanspruch in ihrer speziellen 
Fallgruppe konkretisieren, kommt dem verstorbenen Ungeborenen ein persön- 
lichkeitsrechtlicher Schutz zu.'®* Namentlich sind dies das Recht am eigenen Bild 
und das Recht der persönlichen Ehre als Ausprägungen der Art. 2 Abs. 1 iVm 1 
Abs. 1 GG, in Einzelfällen auf das dem Persönlichkeitsrecht entwachsene Recht 
auf informationelle Selbstbestimmung unter der bereits erwähnten Maßgabe des 
Elternrechts gem. Art. 6 Abs. 2 GG. Das Recht der Geltendmachung kommt daher 
den Hinterbliebenen, also den Eltern, im Rahmen ihrer Grundpflicht aus Art. 6 
Abs. 2 S. 1 GG zu. Schließlich umfasst diese als lex specialis im Falle der Eltern 


184 Ebenfalls der Ansicht, allerdings mit Fokus auf die informationelle Selbstbestimmung 
Harks, NIW 2002, 716 (719). 
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auch die Totensorge des Kindes.!85 Zu beachten ist allerdings, dass mangels des 
sozialen Geltungsanspruchs eine verhältnismäßig kurze Dauer des Schutzes zu 
wählen ist. Einzubeziehen sind aber der Bekanntheitsgrad des Ungeborenen und 


die hohe Sensibilität der Trauer! ®°. 


3. Zusammenfassung 


Auf Grundlage des eingangs dargestellten weiten Schutzes des Menschen in seiner 
analogen Identität lässt sich parallel der Lebenszyklus der digitalen Identität den 
einzelnen analogen Lebensphasen zuordnen und die Schutzfähigkeit in dieser 
analogen Lebensphase grundsätzlich bejahen. Ein entsprechend Bild ergibt sich 
bei der Gegenüberstellung mit der Definition der digitalen Identität, da sich die 
analogen Lebensphasen in einzelne digitale Aspekte des Grundrechtskatalogs 
potentiell einordnen lassen. Damit ist die weitere konkrete Prüfung der einzelnen 
Schutzgüter eröffnet. Prima facie ergibt sich ein zeitlich vollumfänglicher Schutz 
der digitalen Identität natürlicher Personen. 


Il. Juristische (digitale) Personen 


Weiterhin ist die Relation zwischen juristischen Personen als Grundrechtsträger 
und ihrer digitalen Identität zu untersuchen. Dies erscheint nur folgerichtig, wo 
der Zugang zum Internet und somit die Nutzung digitaler Identitäten, wie bereits 
gezeigt, nicht nur natürlichen Personen möglich ist. Grundrechtsrelevante Hand- 
lungen erfolgen zwar auch bei juristischen Personen durch natürliche Personen, 
jedoch sind diese Handlungen bei Unternehmensbezug iSe Organhandelns dem 


185 Zum zeitlichen Umfang siehe Robbers in: von Mangoldt/Klein/Starck, GG-Kommentar, Band 
I, Art. 6 Abs. 2, Rn. 155-158. Zur Totensorge des Kindes Rixen, FamRZ 1994, 417 (420 f). 

186 Diese sollte zumindest dahingehend beachtet werden, dass eine Verletzung bereits durch ein- 
fachere ehrverletzende Äußerungen des Kindes gegeben sein kann, wenn der Tod hinreichend 
aktuell ist. 
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Unternehmen zuzuordnen.'®’ Dabei kann eine Corporate Identity als Leitbild 
fungieren und die Handlungen vereinheitlichen. 188 


Während sich der grundrechtliche Schutz natürlicher Personen unmittelbar aus 
dem Wortlaut des Art. 1 Abs. 1, Abs. 2 GG folgern lässt, kommt juristischen 
Personen diesbezüglich eine Sonderrolle zu. Denn der Regelfall, der in den Art. 
1-19 GG niedergelegt ist, bezieht sich lediglich auf den Menschen als gebo- 
renen Grundrechtsträger. Dafür spricht insbesondere der Wortlaut des Art. 19 
Abs. 3 GG, welcher mit „auch“ die Erweiterung des üblichen Anwendungsberei- 
ches meint — ebenfalls bezeichnet als Erstreckungsgarantie. Die Erstreckung der 
Freiheiten natürlicher Personen auf juristische Personen dient insbesondere der 
Effektuierung und Wirkkraftverstärkung der individuellen Freiheitsentfaltung.'?? 
Insoweit lässt sich den einzelnen Grundrechten nicht entnehmen, dass eine An- 
wendbarkeit auf juristische Personen grundsätzlich möglich ist. Der Klarstellung 
halber wurde daher in Anlehnung an die Vorlage der Bayerischen Staatsregierung 


t.90 Dem- 


die Rechtsstellung juristischer Personen in Art. 19 Abs. 3 GG eingefüg 
gemäß können sich auch inländische (privatrechtliche) juristische Personen auf 
Grundrechte berufen, soweit sie ihrem Wesen nach anwendbar sind. Diese Formel 
enthält damit zugleich Voraussetzungen und Grenzen der Grundrechtsanwendung, 
auf welche nachfolgend jeweils in entsprechendem Umfang eingegangen wird. Der 
Schwerpunkt liegt dabei in der Ermittlung der wesensmäßigen Anwendbarkeit bei 


digitalen Identitäten. 


187 Hierzu sogleich bei der Darstellung der wesensmäßigen Anwendbarkeit der Grundrechte in 
Kapitel B.IIL2. Vgl. auch BVerfGE 20, 323 (336). 

188 Vgl. Kapitel B.1.3.b). 

189 So zur Erstreckungsgarantie sowie dem Sinn der Freiheitenverstärkung Tettinger in: Merten/ 
Papier, HGr II, $ 51, Rn. 26, 28; Rüfner in: Isensee/Kirchhof, HStR IX, $ 196, Rn. 60; 
Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 III, Rn. 81; Dürig in: Maunz/Dürig, GG- 
Kommentar (2003), Art. 19, Rn. 1. 

190  Tettinger in: Merten/Papier, HGr II, $ 51, Rn. 5; vgl. auch Remmert in: Maunz/Dürig, GG- 
Kommentar, Art. 19 III, Rn. 80. Ausführlicher zur Historie Stern, StaatsR IIV1, $ 71, S. 1089 
ff, insbes. 1095 f. 
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1. Juristische, inländische Personen 


So verlangt Art. 19 Abs. 3 GG zuvorderst, dass es sich um eine juristische Person 
handelt. Anerkanntermaßen sind hierunter sämtliche voll- und teilrechtsfähigen 
Personengebilde zu verstehen.'?! Nicht umfasst sind dagegen alle nichtrechtsfähi- 


192 einschließlich unstrukturierter Personengruppierungen!”. 


gen Organisationen 
Maßgebliches Kriterium ist also nicht die privatrechtliche Zuordnung, sondern 
ausschließlich die Rechtsfähigkeit im Allgemeinen.'?* Grundsätzlich ist aller- 
dings — und so auch hier — davon auszugehen, dass juristische Personen, welche 
beispielsweise im Wege ihrer Corporate Identity ihre digitale Identität im Internet 


195 Problematische Einzelfälle sind an 


bilden und nutzen, (teil-)rechtsfähig sind. 
dieser Stelle auszublenden, um den Fokus für den eigentlichen Untersuchungsge- 


genstand nicht zu verlieren. 


Weiterhin ist es gem. Art. 19 Abs. 3 GG erforderlich, dass es sich um eine inlän- 
dische juristische Person handelt, welche sich auf ihre Grundrechte beruft bzw. 
deren digitale Identität potentiell durch Grundrechte geschützt sein könnte. Als 
inländisch wird dabei grundsätzlich jede juristische Person bezeichnet, welche 
ihren effektiven Sitz, also das tatsächliche Zentrum ihrer Aktionen, im Inland 
— also innerhalb der Staatsgrenzen!”° — hat.'?” Maßgebend ist hierfür der Ort, 


an dem die Mehrheit der Entscheidungen der Geschäftsführung gefällt wird. 1° 


191 Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 III, Rn. 37 ff, Tettinger in: Merten/ 
Papier, HGr II, $ 51, Rn. 31, 32. 

192 Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 II, Rn. 41. 

193  Tettinger in: Merten/Papier, HGr II, $ 51, Rn. 34. 

194  Dürig in: Maunz/Dürig, GG-Kommentar (2003), Art. 19, Rn. 8, 29. 

195 Handelt es sich nur um eine, bereits erwähnte, lose Personengruppierung, so kann sich diese 
entweder über die einzelnen Teilnehmer auf die Individualgrundrechte oder auf die Kollektiv- 
grundrechte berufen. Eine Lücke im verfassungsrechtlichen Schutzkonzept besteht dahingehend 
nicht. 

196  Tettinger in: Merten/Papier, HGr II, $ 51, Rn. 47; Huber in: von Mangoldt/Klein/Starck, GG- 
Kommentar, Band I, Art. 19 III, Rn. 296. 

197 BVerfG NJW 2018, 2392 (2393, Rn. 29); Enders in: Epping/Hillgruber, BeckOK GG, Art. 19, 
Rn. 36; Sachs in: Sachs, GG, Art. 19, Rn. 54. 

198 Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 III, Rn. 78. Ähnliches ergibt sich, wenn 
analog der Begriff der Niederlassung des Diensteanbieters aus Art. 4 Nr. 16 lit. a) DSGVO 
herangezogen wird — vgl. auch EuGH, Urteil vom 01.10.2015, Az. C-230/14, Rn. 29. 
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Mitnichten kommt es also auf die Staatsangehörigkeit der Mitarbeiter eines Un- 


199 200 an. Dies ist 


ternehmens ~” oder den bloßen örtlichen Sitz des Unternehmens 
schon dem Sinn des Art. 19 Abs. 3 GG nach zu verwehren, kommt es für die 0.8. 
Freiheitenverstärkung der wirtschaftlich tätigen natürlichen Personen eben darauf 
an, dass sie ihre Freiheiten innerhalb Deutschlands ausüben.?0! Im Falle digital 
agierender Unternehmen ist folglich auf den erwähnten Ort der aktiven Geschäfts- 
führung abzustellen, welcher sich bei einem (landes-)grenzenlosen Aktionsort wie 
dem Internet zunächst nur schwer einwandfrei zuordnen lässt. Nicht selten werden 
Marketing-Strategien nicht nur lokal oder regional, sondern weltweit organisiert 
— was den Aktionsradius entsprechend erweitert. Zudem liegt der Ort der akti- 
ven Geschäftsführung bei namhaften Unternehmen außerhalb Deutschlands, und 
nur eine Tochterfirma als Repräsentations- und PR-Standort ist in Deutschland 
zugegen. Liefert auch letztere keine Anhaltspunkte für eine „deutsche Geschäfts- 
führung“ von dieser aus, so erscheint eine Befürwortung der Anforderung des 
Art. 19 Abs. 3 GG schwierig. Die damit skizzierte Problematik soll vorliegend 
lediglich die Komplexität der weltumspannenden Digitalisierung aufzeigen; eine 
Lösung sowie tiefergehende wissenschaftliche Betrachtung bleibt mit Blick auf 
den Prüfungsgegenstand zu vertagen. Im Folgenden wird dieses Merkmal daher 


nicht weiter bestritten. 


2. Wesensmäßige Anwendbarkeit der Grundrechte 


Unter Einbeziehung der bisherigen Ausführungen kann aus der Lesart des Wort- 
lautes des Art. 19 Abs. 3Hs. 1 GG - „Die Grundrechte gelten auch für inländische 
juristische Personen...“ — vorerst geschlossen werden, dass auch für juristische 


199 BVerfGE 21, 207 (209); Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 III, Rn. 80. 

200 Dürig in: Maunz/Dürig, GG-Kommentar (2003), Art. 19, Rn. 31. 

201 Vgl. Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 II, Rn. 82 sowie Dürig in: Maunz/ 
Dürig, GG-Kommentar (2003), Art. 19, Rn. 4. 
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Personen eine vollumfängliche Grundrechtsberechtigung möglich ist. Anschlie- 
Bend ist diese weite Aussage hingegen, wie üblich dem juristischen Grundsatz- 
Ausnahme-Schema folgend, durch die Restriktion des Art. 19 Abs. 3 Hs. 2 GG ein- 
zuschränken, was sich hinreichend durch das Wort „soweit“ ausdrückt.” Ob und 
wie Grundrechte auf eine juristische Person anwendbar sind, muss sodann durch 
die tiefgehende Prüfung der wesensmäßigen Anwendbarkeit der Grundrechte ge- 
klärt werden. Eingeschlossen darin ist auch die Frage, ob bzw. wie Grundrechte 
auf juristische Personen des Privatrechts oder des öffentlichen Rechts anzuwen- 
den sind. Schließlich ist bei der Untersuchung des Wesens der juristischen Person 
neben dem Vergleich zur natürlichen Person auch die Einordnung des Wesens 
selbst von Relevanz. Dafür spricht insbesondere der neutrale Wortlaut des Art. 19 
Abs. 3 GG: Das Wesen und seine Vereinbarkeit ist für die jeweilige juristische 
Person festzustellen und nicht prinzipiell zu Beginn auszuschließen.’ Die Diffe- 
renzierung nach der Rechtsform bietet sich daher an dieser Stelle an, wenngleich 
vereinzelt die Zuordnung bereits bei der Frage nach der juristischen Person er- 


folgt?®*., 


a) Anwendbarkeit auf öffentlich-rechtliche juristische 
Personen 


Vor der detaillierten Prüfung der wesensmäßigen Anwendbarkeit in materieller 
Hinsicht sei allerdings darauf hingewiesen, dass sich Art. 19 Abs. 3 GG grundsätz- 
lich ausschließlich auf privatrechtlich organisierte juristische Personen bezieht 
— öffentlich-rechtliche juristische Personen folglich nicht grundrechtsberechtigt 
sind.”® Dies folgt nicht bloß aus der Ermangelung einer Regelung, ähnlich derer 


202 So auch Tettinger in: Merten/Papier, HGr II, $ 51, Rn. 50. Ähnlich auf das Wesen abstellend 
Dürig in: Maunz/Dürig, GG-Kommentar (2003), Art. 19, Rn. 35 sowie Stern, StaatsR IIV/1, $ 
71, S. 1110. 

203 Vgl. Bethge, Grundrechtsberechtigung juristischer Personen, S. 61, 69 f. Zur europarechtlichen 
Parallele der Ermittlung der Wesensmäßigkeit siehe nur Heißl, EuR 2017, 561 (564 f, 567). 

204 Derart prüfend Windthorst in: Gröpl/Windthorst/von Coelln, StuKo GG, Art. 19, Rn. 42, 49 f; 
Kingreen/Poscher, Staatsrecht I, Rn. 164. 

205 Vgl. Tettinger in: Merten/Papier, HGr II, $ 51, Rn. 25. 
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in Art. 19 Abs. 3 GG, sondern aus dem rechtlichen Charakter der Grundrechte: 
Grundrechte als Menschenrechte haben im Kern eine Abwehrfunktion gegen- 
über staatlichen Eingriffen. Zugleich gewähren sie dadurch Freiheiten, teilweise 
auch Leistungsrechte.?° Der telos der Art. 1-19 GG widerspricht folglich einer 
Auslegung in diese Richtung, denn durch eine Erweiterung der Gewährleistung 
grundrechtlich geschützter Freiheiten auf juristische Personen des öffentlichen 
Rechts besteht aufseiten des geborenen Grundrechtsträgers dann keine Grenze, 
kein Schutzwall qua Abwehrfunktion mehr.” Im Gegenteil: Die Interessenab- 
wägung, üblicherweise auf der Ebene der mittelbaren Drittwirkung zwischen 
Privaten bekannt, ist dann ebenfalls zwischen Staat und Bürger zu führen. Die 
eigentliche Stärke der Grundrechte als Freiheitenkatalog zum Schutz natürlicher 
Personen im Subordinationsverhältnis wäre aufgelöst. Ferner noch, würde so die 
Konzeption des Staates, durch Grundrechte ein Kräfteverhältnis zugunsten des 
Bürgers zu erhalten und so historische Ereignisse entsprechend zu würdigen, ?0® 
leerlaufen. Gleiches gilt sodann für die Verfassungsbeschwerde als Rechtsbehelf 
des Bürgers gegen Eingriffe des Staates,” verweisen doch Art. 93 Abs. 1 Nr. 4a 
GG sowie $ 90 Abs. 1 BVerfGG expressis verbis auf eine Verletzung durch die öf- 
fentliche Gewalt. Mithin kann öffentlich-rechtlichen Organisationsformen, welche 
den Gewalten iSd Art. 1 Abs. 3, 20 Abs. 2 GG zuzuordnen sind, gewissermaßen 
kein Schutz vor „sich selbst“ gewährt werden. Der Staat kann nicht gleichzei- 
tig Adressat und Berechtigter der Grundrechte sein.?!? Juristische Personen des 
öffentlichen Rechts sind daher ausschließlich Grundrechtsverpflichtete.?!! Ledig- 
lich in Ausnahmefällen, in denen die öffentlich-rechtliche juristische Person dem 


206 So die Grundlage des Konfusionsarguments - vgl. Rüfner in: Isensee/Kirchhof, HStR IX, $ 196, 
Rn. 112; Schnapp in: Merten/Papier, HGr II, $ 52, Rn. 27. Kritisch dagegen Merten, DÖV 2019, 
41 ff. Zu den Funktionen der Grundrechte im Einzelnen siehe Jarass in: Merten/Papier, HGr 
II, $ 38, Rn. 15 ff, 22 ff sowie sub C.I. und II. 

207 Vgl. Bethge, Grundrechtsberechtigung juristischer Personen, S. 64 f. 

208 Vgl. BVerfGE 6, 55 (71); 27, 71 (84). 

209  Bethge, Grundrechtsberechtigung juristischer Personen, S. 68. 

210 Sog. Konfusionsargument — BVerfGE 15, 256 (262); 21, 362 (369 f); 39, 302 (312 ff); 62, 354 
(369); Schnapp in: Merten/Papier, HGr II, $ 52, Rn. 27 f, Bethge, Grundrechtsberechtigung 
juristischer Personen, S. 65 f; Kloepfer, VerfR II, $ 49, Rn. 57. 

211 So auch stRspr des BVerfG allgemein nur BVerfGE 107, 299 (309 f), für einzelne Fälle 
siehe Sachs in: Sachs, GG, Art. 19, Rn. 92 sowie Fn. 310. 
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bislang durch das Bundesverfassungsgericht ausgeformten Ausnahmentrias zuge- 
ordnet werden kann, ist von einer Grundrechtsberechtigung öffentlich-rechtlicher 


juristischer Personen auszugehen. ?!? 


Gerade weil auch diese Art der juristischen Personen durch einen Webauftritt das 
eigene Beratungsangebot der örtlichen Behörden mittels Repräsentation eine digi- 
tale Identität bildet,?'? erscheint die eben dargelegte und der herrschenden Ansicht 
entsprechenden Ablehnung einer Grundrechtsträgerschaft öffentlich-rechtlicher 
juristischer Personen hingegen brüchig?!*. Denn auch die Repräsentation der digi- 
talen Identität dieser juristischen Personen ist vor Eingriffen nicht kraft ihrer recht- 
lichen Zuordnung geschützt, sondern unterliegt auf den ersten Blick gleichartigen 
Angriffen. Möglicherweise könnte sich diesbezüglich die von Seiten der Literatur 
vertretene, für eine wesensmäßige Anwendung erforderliche grundrechtstypische 
Gefährdungslage feststellen lassen. Diese setzt eine vergleichbare Gefährdung der 
Freiheitsrechte von Seiten des Staates voraus, der die juristische Person wie ei- 
ne natürliche Person unterliegt.?'° Eine vergleichbare Lage zwischen natürlichen 
Personen und öffentlich-rechtlichen juristischen Personen liegt zwar wie erwähnt 


212 Hierzu Sachs in: Sachs, GG, Art. 19, Rn. 93 ff; Bethge, Grundrechtsberechtigung juristischer 
Personen, S. 77 ff. 

213 So dürfen beispielsweise gemäß der Richtlinie des Landesamtes für Datenschutz und Infor- 
mationsfreiheit Baden-Württemberg in gewissem Rahmen auch soziale Netzwerke nutzen, um 
die Öffentlichkeit besser und direkter zu informieren (so auch Kalscheuer/Jacobsen, NIW 
2018, 2358 (2361)). Messenger, wie sie bei dem sozialen Netzwerk Facebook Teil der 
Plattform sind, sind von der Nutzung durch öffentliche Stellen allerdings ausgeschlossen — 
siehe https://www.baden- wuerttemberg.datenschutz.de/wp-content/uploads/2017/11/2017.11. 
02._Richtlinie-zur-Nutzung-sozialer- Netzwerke-durch- Äüff.-Stellen.pdf sowie die Stellung- 
nahme von LfDI Brink, DSB 2020, 43 ff.; im Detail auch Engeler, MMR 2017, 651. Engeler 
merkt aber zutreffend die datenschutzrechtliche Relevanz der Verarbeitung der Besucherdaten 
durch den Diensteanbieter an, welcher insoweit unumgänglich ist und die der Verantwortlich- 
keit der öffentlichen Stelle bedarf. Selbiges lässt sich aus dem Urteil des EuGH zu Facebook- 
Fanseiten schließen — Urteil vom 5.6.2018, Az. C-210/16, Rn. 39. Zu Inhalt und Grenzen der 
Öffentlichkeitsarbeit siehe vgl. BVerfGE 44, 125 (147 ff) sowie Gersdorf , AfP 2016, 293 (294, 
295 f); vgl. Weberling, AfP 2003, 304 (305 f) sowie OVG Münster, Urteil vom 17.9.2019, Az. 
15 A 4753/18 = ZUM 2020, 646 ff. 

214 Ebenso die Instabilität des Ausnahmetrias feststellend Zudwigs/Friedmann, JA 2018, 807 (811). 

215 Von Mutius in: Kahl/Waldhoff/Walter, BonnK GG, Art. 19 MI, Rn. 114; Krebs in: von Münch/ 
Kunig, GG, Art. 19, Rn. 45; Isensee in: Isensee/Kirchhof, HStR IX, $ 199, Rn. 9 f, 49 f; 
Tettinger in: Merten/Papier, HGr II, $ 51, Rn. 53 ff; Kingreen/Poscher, Staatsrecht II, Rn. 174. 
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darin, dass eine Gefährdung der im Internet vorhandenen Daten zur eigenen (di- 
gitalen) Identität grundsätzlich bestünde. So sind beispielsweise auch Behörden 
den Bewertungen von Grundrechtssubjekten auf Google Maps ausgesetzt.?!° Bei 
Lichte betrachtet liegt allerdings keine Gefährdung durch den Staat vor, sondern 
eine Gefährdung durch Angriffe Privater, ggf. sogar durch Grundrechtssubjekte. 
Per definitionem kann also keine grundrechtstypische Gefährdungslage entstehen, 
zeichnet sich diese — grundrechtstypisch — durch die Prägung staatlicher Gewalt 
aus. 


Stattdessen könnte am durch das Bundesverfassungsgericht tradierten Konstrukt 
des personalen Substrats festzuhalten sein, sich also an der Bildung und Betäti- 
gung der juristischen Person orientiert wird bzw. gerade dies Ausdruck der freien 
Entfaltung natürlicher Personen ist. Dies ist besonders dann der Fall, „wenn der 
Durchgriff auf die hinter den juristischen Personen stehenden Menschen dies 
als sinnvoll und erforderlich erscheinen lässt“ (daher: Durchgriffsthese).?!? Dem- 
nach müsste die Ausbildung einer digitalen Identität der öffentlich-rechtlichen 
juristischen Person eine Verwirklichung der Freiheiten der dahinter stehenden na- 
türlichen Personen darstellen, die juristische Person damit nur verlängerter Arm 
der natürlichen Person sein. Dieser Schluss gelingt allerdings nicht bei öffent- 
lich-rechtlichen juristischen Personen, da deren Repräsentation nicht einem ver- 
längerten Arm entspricht, sondern beispielsweise eher der Informationspflicht 
des Staates gegenüber dem Bürger?!’ Genugtuung verschafft. Ihr Handeln dient 


216 Siehe nur https://www.google.de/maps/place/Ordnungsamt+der+Stadt+Leipzig/@51.330741, 
12.3617822, 15z/data=!4m8! 1m2!2m1!12YmVow7ZyZGUgZsO8ciDDtmZmZW50bG]ja 
GUgc2ljaGVy!3m4!1s0x47a6f8260ce4cal1:0xcaac43ac9d2ea574!8m2!3d51.3267084!14d12. 
3997424 für Bewertung zum Ordnungsamt der Stadt Leipzig oder die Bewertungen zum 
Bundesministerium des Innern unter https://www.google.de/maps/place/Bundesministerium+ 
des+Innern, +fÄijr+Bau+und+Heimat/@52.52263, 13.3612314,17z/data=!3m1!4b1!4m5!3m 
4!11s0x47a851a099c4373d:0x4a0154a2817c3ffd!8m2!3d52.52263!4413.3634201. 

217 BVerfGE 21, 362 (369); 61, 82 (101) — Hervorhebung im Original nicht enthalten. Ebenso 
Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 III, Rn. 30 ff. 

218 Vgl. Kloepfer, VerfR II, $ 61, Rn. 47; Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, 
Band I, Art. 5 Abs. 1 und II, Rn. 19. 
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folglich der Erfüllung öffentlicher Aufgaben und vollzieht sich nicht in der Wahr- 
nehmung unabgeleiteter Freiheiten.”!” Von einer Erweiterung oder Erhaltung der 
grundrechtlichen Freiheiten, wie schon iSd erwähnten Erstreckungslehre Art. 19 
Abs. 3 GG verstanden wird, kann vorliegend deshalb keine Rede sein. Die Beja- 
hung der Grundrechtsträgerschaft auf dieser Basis schlägt damit ebenso fehl. 


Letztlich ist damit weder gemäß des Wortlautes des Art. 19 Abs. 3 GG noch 
durch Hinzunahme etablierter Auslegungsweisen von Judikatur und Literatur eine 
Grundrechtsträgerschaft bzgl. der digitalen Identität öffentlich-rechtlicher juris- 
tischer Personen möglich — spezielle Grundrechtsträger wie Rundfunkanstalten 
oder Universitäten als Teil des Ausnahmetrias ausgenommen. 


b) Anwendbarkeit auf privatrechtliche juristische Personen 


Die Grundrechtsträgerschaft juristischer Personen des Privatrechts ist dagegen 
nicht schon zu Beginn problematisch und prinzipiell anzunehmen, wobei die 
grundrechtsspezifische Bejahung erst nach einer gesonderten Prüfung im Rahmen 
der angedeuteten Grundsätze erfolgen kann.” Hierzu muss die privatrechtliche 
juristische Person Eigenarten aufweisen, welche derart menschenähnlich sind, 
dass sie sich ebenfalls auf Grundrechte natürlicher Personen berufen kann.??! 
Mit anderen Worten: Ist der zu untersuchende grundrechtliche Aspekt nicht aus- 
schließlich den menschlichen Wesenszügen zuzuordnen, sondern auch auf abs- 
trakte Persönlichkeiten wie juristische Personen übertragbar, so kann die Grund- 
rechtsfähigkeit diesbezüglich bejaht werden.”?? Zur Analyse dieser Wesensmäßig- 
keit ist neben dem geeigneten Grundrechtstatbestand sowie den charakteristischen 


219 Huber in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 19 III, Rn. 245. 

220 Eine generelle Grundrechtsfähigkeit besteht nicht, kann sie schon nicht aus dem Wortlaut des 
Art. 19 Abs. 3 GG gerechtfertigt werden. — Vgl. Isensee in: Isensee/Kirchhof, HStR IX, $ 199, 
Rn. 23. Dagegen eine Wirkkraft im Ansatz bereits annehmend Tertinger in: Merten/Papier, HGr 
II, $ 51, Rn. 50. 

221 Vgl. Sachs in: Sachs, GG, Art. 19, Rn. 67. 

222 BVerfGE 95, 220 (242); 118, 168 (203). 
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Zügen der juristischen Person wie Aufgaben und Funktionen als Vergleichsgrund- 
lage ebenfalls die Theorie der grundrechtsspezifischen Gefährdungslage oder des 
personalen Substrats hinzuzuziehen.? Dabei genügt es, wenn Teilgehalte ei- 
ner Grundrechtsgarantie auf die juristische Person anwendbar sind.” Mangels 
einer konkreten juristischen Person als Analyseobjekt sei für die nachfolgende 
Einordnung von einem Modell der juristischen Person auszugehen, welche sich 
durch Konten bei sozialen Netzwerken oder ähnlichen Telemedien und ggf. not- 
wendigen Bestellkonten oder Konten bei Drittanbietern, eigene Websites und 
E-Mail-Datenverkehr im Internet bewegt. Die juristische Person agiert insgesamt 
als Dienstleister, für den sowohl die Corporate Identity als auch der Umgang mit 
Benutzerkonten der Kunden sowie der eigenen Mitarbeiter üblich ist. Dies sollte 
im Grundsatz dem Großteil der aktuell digital agierenden juristischen Personen 
entsprechen. 


Entsprechend der eingeführten Agenda bedarf es zunächst der funktionalen Zu- 
ordnung der juristischen Person zu entsprechend geeigneten Grundrechten. Vor- 
liegend kann auf die bei digitalen Sachverhalten üblichen Grundrechte abgestellt 
werden, sodass für eine nähere Betrachtung das Allgemeine Persönlichkeitsrecht 
gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG mit seinen eigenständigen Spielarten der in- 
formationellen Selbstbestimmung sowie dem Grundrecht auf Gewährleistung der 
Vertraulichkeit und Integrität informationstechnischer Systeme relevant erscheint. 
Diese können grundsätzlich auch juristische Personen geltend machen, liegt ihr 
materieller Schwerpunkt doch auf Art. 2 Abs. 1 GG.?? Je nach Art und Weise 
des Eingriffs kommen aber auch Art. 10 Abs. 1 GG in seiner fernmeldetechni- 
schen Variante sowie Art. 12 Abs. 1 und 14 Abs. 1 GG in Betracht. Artikel 12 
Abs. 1 GG käme aber nur dann zur Anwendung, wenn staatliche Restriktionen 
aufgrund mittelbarer Wirkungen ebenfalls objektive berufsregelnde Tendenzen 
aufweisen??®, Die Eigentumsfreiheit könnte im weiteren Sinne auch den Ruf des 


223 Vgl. Kingreen/Poscher, Staatsrecht II, Rn. 174; Hofmann in: Schmidt-Bleibtreu/Hofmann/ 
Henneke, GG-Kommentar, Art. 19, Rn. 25. 

224 Sachs in: Sachs, GG, Art. 19, Rn. 67. 

225 Vgl. BVerfGE 95, 220 (242); 118, 168 (203). 

226 Zum mittelbaren Eingriff vgl. Kingreen/Poscher, Staatsrecht II, Rn. 918 f. 
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Unternehmens — also die Repräsentation der Unternehmenspersönlichkeit bzw. 
Corporate Identity — als Teil des eingerichteten und ausgeübten Gewerbebetriebes 
schützen. Weiterhin besteht bezüglich der Eigentumsfreiheit des Art. 14 Abs. 1 
die Unstimmigkeit, ob Unternehmensdaten wie die angelegten Datenbanken mit 
Kundendaten, welche durch Eingriffe beeinträchtigt, entnommen oder verviel- 
fältigt werden, (Unternehmens-)Eigentum iSd Grundgesetzes darstellen. Summa- 
risch besteht also die Möglichkeit einer Grundrechtsposition, was für die weitere 
Prüfung ausreicht. Die Prüfung der anwendbaren Schutzbereiche folgt später en 
détail.” 


Mit Blick auf die beiden definitorischen Waagschalen der Wesensmäßigkeit lässt 
sich anhand der Durchgriffsthese bereits die Nähe zur menschlichen Freiheits- 
nutzung erkennen: Eine derartige Handlungsweise entspricht der Erweiterung der 
Freiheiten natürlicher Personen. Wenn schon letztere das Internet als Medium 
der Kommunikation und Selbstverwirklichung ohne größere Hindernisse nutzen 
können, ist dies iSd Durchgriffsthese erst Recht juristischen Personen zu gewäh- 
ren. Nichts anderes gilt auch für den Umgang mit Daten bzw. Informationen und 
technischen Systemen, welcher beiden Grundrechtssubjekten gleichermaßen be- 
kannt ist.” Bezugnehmend auf den Lebenszyklus der digitalen Identität findet 
sich ebenfalls keine hinreichende Differenz zwischen der digitalen Identität ei- 
ner natürlichen und juristischen Person: Auch die digitale Identität juristischer 
Personen erwacht durch Einrichtung des Systems oder die erstmalige Registrie- 
rung zum Leben, lebt durch die Ansammlung von Daten und „stirbt“, wenn die 
Unternehmenspersönlichkeit beispielsweise durch die Insolvenz und Auflösung 
des Unternehmens hinfällig wird.?”” Ferner wäre es widersprüchlich, Marktteil- 
nehmern innerhalb Deutschlands aufgezeigte Nutzungsweisen des Internets zu 
versagen und so Einfluss auf den internationalen Wettbewerb zu nehmen. 


Sollte vielmehr nach Ansicht der Literatur die grundrechtliche Gefährdungslage 
das Zünglein an der Waage sein, so kommt man diesbezüglich zu keinem anderen 


227 Siehe Kapitel D.I.2. 
228 Vgl. Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2 GG, Rn. 33. 
229 Zurückgreifend auf die Terminologie des Kapitels B.1L.2. 
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Ergebnis. Auch juristische Personen des Privatrechts unterliegen der Gefährdung 
durch Angriffe auf ihre informationstechnischen Systeme und darin befindliche In- 
formationen, weshalb allein schon Art. 2 Abs. 1 iVm 1 Abs. 1 GG - oder korrekter: 
nur Art. 2 Abs. 1 GG - relevant erscheint. Weitere, Art. 12 Abs. 1, 14 Abs. 1 sowie 
10 Abs. 1 GG betreffende Gefährdungslagen sind ebenfalls entsprechend wahr- 
scheinlich. Dies zeigt sich am Beispiel des Kommunikationstools Slack, welches 
des öfteren digital angegriffen wurde.” Während dieses Programm dazu dient, 
zwischen Mitarbeitern eines Unternehmens eine Kommunikationsplattform zu 
schaffen, stellt der Server mit den Kommunikationsdaten über laufende Projekte, 
die Aufteilung von Teams oder auch private Nachrichten der Mitarbeiter unterein- 
ander eine Datenquelle mit hinreichenden Daten zum Unternehmen dar. Sodann 
sind nicht nur die Mitarbeiter als natürliche Personen Opfer des Angriffs, sondern 
das Unternehmen in seiner Gesamtheit. Soweit detaillierte Informationen durch 
Angriffe offen gelegt werden, kann sich dies auf den Ruf oder die Position im 
Wettbewerb auswirken und so in einer Grundrechtsbeeinträchtigung in Art. 12 
Abs. 1, 14 Abs. 1 GG niederschlagen. Aber auch zum Ende des Lebenszyklus 
der digitalen Identität, z.B. nach der Abwicklung eines Unternehmens, wenn die 
digitale Identität nicht mehr aktiv genutzt wird und der Ruf und die Marke in nicht 
vom Unternehmen kontrollierbaren Telemedien als Hülle im Internet verbleibt, 
könnte ein hinreichender Schutz notwendig sein. Eine wesensmäßige Anwendung 
kann so von beiderlei Positionen als möglich angesehen werden. 


Damit steht der prinzipiellen Grundrechtsträgerschaft juristischer Personen des 
Privatrechts iSd Art. 19 Abs. 3 GG hinsichtlich ihrer digitalen Identität nichts 
entgegen. 


230 Siehe https://www.heise.de/developer/meldung/Zahlreiche-Zugangsdaten-fuer-den-Messagin 
g-Dienst-Slack-auf-GitHub-entdeckt-3194000.html sowie https://techerunch.com/2015/03/ 
27/slack-got-hacked/. 
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3. Zusammenfassung 


Juristische Personen gem. Art. 19 Abs. 3 GG können sich demgemäß nur auf 
bestimmte, wesensmäßige Grundrechte berufen, welche entsprechende Nähe zur 
digitalen Identität aufweisen. Exemplarisch ist da an Art. 10 Abs. 1, 14 Abs. 1 
sowie 12 Abs. 1 GG zu denken. Eine besondere Betrachtung bedarf darüber hin- 
aus das Allgemeine Persönlichkeitsrecht des Art. 2 Abs. 1 iVm 1 Abs. 1 GG mit 
Fokus auf die anwendbaren Fallgruppen ohne Menschenwürde-Bezug. Der damit 
gefasste verfassungsrechtliche Rahmen gilt allerdings nur für juristische Personen 
des Privatrechts, da es bei öffentlich-rechtlichen juristischen Personen im Grund- 
satz schon an den Voraussetzungen des Art. 19 Abs. 3 GG unter Einbeziehung 
tradierter verfassungsrechtlicher Grundsätze fehlt. Im Folgenden bezieht sich der 
terminus der juristischen Person iSd Art. 19 Abs. 3 GG damit ausschließlich 
auf die privatrechtliche juristische Person, welche sodann neben die natürlichen 


Personen in den Fokus dieser Arbeit rückt. 2! 


IV. Künstliche digitale Identitäten 


Löst man sich nun von der bisherigen Betrachtungsweise, kann der Begriff der 
„digitalen Identität“ durchaus auch eine ganz andere Lesart aufweisen: Anstatt 
einer digitalen — also digitalisierten oder digital festgehaltenen - Identität, kann 
darunter ebenfalls eine künstliche Identität verstanden werden. Die Digitalität”?? 
der Identität besteht sodann vielmehr darin, dass die Identität nicht auf einer 
realen Person, sondern lediglich in bzw. aus Quellcode besteht. Sie entspricht 
also einer digital geschaffenen Persönlichkeit, welche Kraft ihres Quellcodes in 
einem gewissen Rahmen selbstständig agieren kann. Der Umfang der Selbststän- 
digkeit ist allerdings relativ und von der beabsichtigten Nutzungsweise abhängig. 


231 Siehe Kapitel D.I.2. 
232 Angelehnt an das Wort „digitality“, welches als „quality of being digital“ definiert wird. 
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So sind Bots in sozialen Netzwerken??? mittels einer einprogrammierten künstli- 
chen Intelligenz, welche die Bots unter Verwendung neuronaler Netze lernfähig 


macht?°* 


, zu anderen Handlungen imstande als ein Roboter, welcher aufgrund sei- 
ner Menschenähnlichkeit auch in der Realität mit anderen Personen interagieren 
kann. Letztere Erscheinung mag auf den ersten Blick utopisch erscheinen, waren 
derartige Vorstellungen regelmäßig Gegenstand der Science Fiction: Sowohl der 
Begriff des Roboters?”> als auch Gesetze zum Umgang mit diesen Entitäten”°° 
sind in der belletristischen Fiktion beheimatet. Derartige Vorstellungen scheinen 
aber dann nicht mehr bloß fiktiv zu sein, wenn im Oktober 2017 der Roboter 
Sophia als erster Roboter der Welt die saudische Staatsbürgerschaft erlangt hat??”. 
Das im Juni 2022 veröffentlichte Interview mit Blake Lemoine verstetigt dies, 
da er der Google-KI LaMDA wegen Antworten wie „I've never said this out 
loud before, but there’s a very deep fear of being turned off to help me focus on 
helping others.“ ein eigenes Bewusstsein zuschreibt.?°® Auch allgemein zeichnen 
sich bereits erste gesellschaftliche, langfristige Veränderungen durch den Einfluss 
autonomer Systeme und künstlicher Intelligenzen im Alltag ab.”°? 


233 Dabei handelt es sich idR um „Computerprogramme, die eine menschliche Identität vortäu- 
schen und zu manipulativen Zwecken eingesetzt werden, indem sie wie Menschen im Internet 
kommunizieren“ — siehe Steinbach, ZRP 2017, 101 mwN in Fn. 5. Nicht ausgeschlossen ist 
auch eine rechtskonforme Nutzung, indem der Bot automatisiert Standart-Fragen beantwortet. 

234 Zum Prozess des sog. deep learning siehe Wick, Informatik Spektrum 2017, 103. 

235 Der Begriff ist auf den Autor Karel Čapek zurückzuführen, siehe Spranger! 
Wegmann, Öffentlich-rechtliche Dimensionen der Robotik, S. 105. 

236 So erwähnte Isaac Asimov im Jahr 1942 erstmalig die sog. Roboter-Gesetzes. Zu Herkunft 
und Einfluss auf die Robotik siehe Spranger/Wegmann, Öffentlich-rechtliche Dimensionen 
der Robotik, S. 108 f unter Verweis auf Asimovs Erzählung „Runaround“ sowie Trappl, A 
Construction Manual for Robots’ Ethical Systems, S. 2 f, 5 ff. 

237 Siehe  https://www.heise.de/tp/features/Saudi- Arabien-verleiht-erstmals-einem-Roboter-die 
-Staatsbuergerschaft-3874444.html. 

238 Siehe https://www.washingtonpost.com/technology/2022/06/11/google-ai-lamda-blake-lemoi 
ne/. 

239 So zumindest Sfiemerling, CR 2015, 762 (762 mwN). Einige aktuelle Einsatzgebiete aufzeigend 
Röttgen/Jülicher, DSRITB 2017, 227 (228 ff). 
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Vor diesem Hintergrund kann bezüglich der Definition der digitalen Identität die 
Frage aufgeworfen werden, ob die von Menschenhand geschaffenen bzw. pro- 
grammierten digitalen — nicht digitalisierten — Identitäten ebenfalls vom verfas- 
sungsrechtlichen Schutz der Grundrechte umfasst sind, wie es für natürliche und 
Juristische Personen der Fall ist. Denn auch diese Erscheinungen generieren digita- 


le Identitäten — beispielsweise schon dann, wenn „smarte“ Geräte?” 


eigenständig 
im Internet agieren. Im Fokus dieser Frage und definitorischen Abgrenzung stehen 
daher jene Systeme, welche auf Basis der künstlichen Intelligenz hinreichend au- 
tonom sind und durch die Generierung eigener und Verwendung fremder, da über 
Schnittstellen wahrgenommene, Daten eine eigene digitale Identität erschaffen — 


die sog. autonomen Systeme. ?*! 


1. Menschenähnlichkeit und Menschenwürde 


Die eigenständige Grundrechtsträgerschaft einer isoliert betrachteten digitalen 
Identität im Sinne dieses Abschnitts setzt gem. Art. 1 Abs. 1, Abs. 2 GG vor- 
aus, dass es sich um einen Menschen iSd Grundgesetzes, also um eine lebende 
Person, handelt. Dies ist augenscheinlich schon nicht der Fall, bezieht sich der 
Begriff des Lebens nach dem aufgezeigten telos des Art. 2 Abs. 2 GG doch auf 
die biologischen Voraussetzungen. Diese fehlen bei künstlich erzeugten digitalen 
(also unkörperlichen) Wesen, welche zudem durch die Programmierung nur inner- 
halb eines durch den Programmierer vorgegebenen Anwendungsfeldes verharren, 
vollumfänglich. Auch wenn gelegentlich das Gehirn des Menschen mit einem 


240 Als smarte Geräte werden regelmäßig jene technischen Geräte bezeichnet, welche aufgrund 
ihrer Programmierung eine gewisse Schwelle von eigener Intelligenz erreichen oder überschrei- 
ten, indem sie lernen und für spätere komplexe Situationen die richtige Entscheidung für den 
Nutzer treffen. Hierbei werden verschiedene Bereiche bedient, wie z.B. smart health mittels 
Fitness-Tracker, smart energy durch sog. smart meter bei der Berechnung des Stromverbrauches 
der Haushalte oder generell das Nutzungsgebiet des internet of things, welches Haushaltsge- 
genstände durch eine Internetanbindung mit smarten Fähigkeiten ausstattet. Auch das sog. 
autonome Fahren zählt hierzu. Im Detail siehe Damm/Kalmar, Informatik Spektrum 2017, 400 
(400, 402 ff). 

241 Zu den Merkmalen autonomer Systeme im Einzelnen siehe Wahlster, Informatik Spektrum 
2017, 409. 
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digitalen Computer auf die gleiche Ebene gestellt wird, da letztlich beide auf ihre 
Weise Informationen verarbeiten, so ergeben sich jedoch Probleme hinsichtlich 
der Komplexität der Abbildung des Gehirns”*? sowie auf anderen biologischen 
Ebenen wie dem Prozess der Neuroplastizität”*”. Denn Letzteren können Pro- 
gramme nur schwer abbilden oder simulieren. Rein biologische Faktoren des 


Menschseins können daher ausgeschlossen werden.”** 


Abseits dessen könnte für eine Menschenähnlichkeit sprechen, dass sie das 
menschliche Denken zumindest simulieren bzw. imitieren und diesem verhältnis- 
mäßig nahe kommen oder es — wenn auch nur in bestimmten Anwendungsfällen?® 
— übertrumpfen. Lässt man die biologischen Aspekte hinsichtlich der Körperlich- 
keit?*° außen vor bleibt die Frage offen, ob die Werte der Würde des Art. 1 Abs. 1 
S. 1 GG mittels Simulation nicht dennoch erreicht werden könnten und sich 
auf dieser Grundlage zumindest ein Potential für eine Grundrechtsanwendung 
erkennen lässt. Dazu ist zu betrachten, wie genau das künstliche System arbeitet 
und infolgedessen an Autonomie gewinnt. Autonome wie automatisierte Systeme 


242  Dreyfuß, Grenzen künstlicher Intelligenz, S. 108 sowie Mainzer, Leben als Maschine, S. 156 
ff, 158 £, 164 ff. 

243 Unter dem Begriff der Neuroplastizität wird der Vorgang des Gehirns verstanden, sich durch 
geänderte Lebensverhältnisse und andere Faktoren umzuprogrammieren und so nicht mehr 
genutzte Areale bzw. Informationen aufzulösen um effizienter zu arbeiten (sog. funktionelle 
Plastizität) und frei gewordene Kapazitäten für die neue Strukturierung und das Anlegen neuer 
Informationen zu nutzen (sog. strukturelle Plastizität). Siehe hierzu Jäncke, Lehrbuch Kognitive 
Neurowissenschaften, S. 519. 

244 Vgl. Geminn, DÖV 2020, 172 (175). 

245 Bezugnehmend auf die Historie der künstlichen Intelligenz, in welcher der Sieg des von 
IBM entwickelten Systems „Deep Blue“ gegen den Schachweltmeister Garri Kasparov 
im Jahr 1997 einen Meilenstein darstellt — siehe Dengel, KI 2011, 317 (318). Aktueller 
kann als ähnliches Beispiel der mehrfache Sieg des von Google entwickelten AlphaGo- 
Computers gegen den professionelle Go-Spiele im Jahr 2017 erwähnt werden - sie- 
he https://www.heise.de/newsticker/meldung/Kuenstliche- Intelligenz- AlphaGo-Zero-uebertr 
umpft- AlphaGo-ohne-menschliches- Vorwissen-3865120.html. 

246 Zum Embodiment von künstlichen Intelligenzen durch Roboter siehe Mainzer, Leben als Ma- 
schine, S. 164 mwN in Fn. 230. 
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247 zeichnen sich dadurch aus, dass sie durch 


auf Basis künstlicher Intelligenzen 
Erhebung, Verarbeitung und Nutzung zahlreicher Informationen, welche durch 
Sensoren und andere Schnittstellen vom System aufgezeichnet werden, Funktio- 
nen auf Grundlage der ermittelten Daten anpassen und so bestmöglich für den 
Nutzer ihre Funktion zur Verfügung stellen.” Der Kern der Programmierung 
einer künstlichen Intelligenz und damit des autonomen Bausteins sämtlicher au- 
tonomer Software besteht folglich gerade darin, Verhaltensregeln und -ketten des 
Menschen zu erkennen und diese in entsprechende Anweisungen für die Rechen- 
einheit in Form von Programmierbefehlen oder Maschinencode zu übersetzen. ?* 
Je nachdem, wie gut und umfangreich die künstliche Intelligenz eigene Wis- 
sensnetze anlegen und aus diesen lernen kann, ist sodann von einer schwachen 
(gering autonomen) oder starken (vollständig autonomen) künstlichen Intelligenz 
die Rede.?®? Nach Turing besteht eine (starke) künstliche Intelligenz insbesondere 
dann, wenn ein Beobachter nicht in der Lage ist zu unterscheiden, ob er mit einem 
Menschen oder einem Computer kommuniziert.?°! Im Ergebnis entsteht so eine 


Simulation menschlichen Verhaltens — im vorliegenden Anwendungsfall also eine 


247 Während sich autonome Systeme durch ihre Eigenständigkeit auszeichnen, also ohne den steu- 
ernden Menschen ihre Tätigkeit verrichten (human out ofthe loop, vgl. auch RL (EU) 2016/1148 
ErwGr 18 aE) ist bei automatisierten Systemen unter Rückgriff auf künstliche Intelligenzen 
zumindest eine teilweise Steuerung durch den Menschen gegeben (dann human in the loop). Der 
Übergang zwischen beiden Kategorien ist allerdings fließend. Vgl. hierzu Specht/Herold, MMR 
2018, 40 (40/41). 

248  Wahlster, Informatik Spektrum 2017, 409 (410 f sowie 412 f zur Referenzarchitektur autonomer 
Systeme); Mainzer, Leben als Maschine, S. 145 unter Verweis auf den Turing-Test sowie 154 
f, 164 f, 166. Vgl. auch Kluge/Müller, InTeR 2017, 24 (25); Pieper, DSRITB 2017, 555 (562 
f) sowie Knoll/Christaller, Robotik, S. 31. 

249  Dreyfuß, Grenzen künstlicher Intelligenz, S. 114 f, 116, 123 ff. Es ist an dieser Stelle aber 
zu erwähnen, dass technische Reproduktion von Sinneswahrnehmungen soweit nur teilweise 
möglich ist: Während das Sehen, Hören und Fühlen durch mechanische Sensorik oder Kameras 
und Mikrophone entsprechend übertragen und verarbeitet werden kann, stellen Gerüche und 
Geschmäcker wegen ihrer subjektiven Verknüpfung mit Erinnerungen und Emotionen eine be- 
sondere Schwierigkeit dar — so Neuhäuser, Künstliche Intelligenzen und ihr moralischer Stand- 
punkt, S. 23 (33); vgl. zum biologischen Hintergrund auch Pritzel/’Brand/Markowitsch, Gehirn 
und Verhalten, S. 207 ff. 

250 Smart, Beyond Zero and One, chapter 0011. 

251 Diese Kriterien entwickelte Turing bei seinem bis heute bekannten Turing-Test, vgl. Tu- 
ring, Mind 1950, 433 (438). Zur Definition ebenfalls Mainzer, Leben als Maschine, S. 145 
mwN. 
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von den Daten des Nutzers gespeiste und der Programmierung abhängige digitale 
Identität, jedoch gerade keine eigene digitale Identität. 


Bezugnehmend auf die eingangs aufgeworfene Frage bleibt jedoch offen, ob ei- 
ne derartige „Kopie“ der digitalen Identität für sich genommen eine Würde iSd 
Art. 1 Abs. 1 GG aufweist. Kennzeichnend für die Würde des Menschen nach dem 
Grundgesetz ist die bereits erwähnte Objektformel, nach welcher der Mensch nicht 
zum bloßen Mittel oder Objekt herabzuwürdigen ist.”” Daneben ist der Begriff 
recht weit zu fassen, bezieht sich also ebenfalls auf Momente der Leistung und 
Investition in die eigene Identität, als auch geistige und moralische Grundsätze. >? 
Hinsichtlich der Objektformel nach Dürig kann mit Blick auf Zweck und Einsatz 
künstlicher Intelligenzen schon nicht von einer widernatürlichen Instrumentalisie- 
rung ausgegangen werden. Die Programmierung von autonomen Systemen dient 
eben gerade der Vereinfachung und Convenience informationstechnischer Syste- 
me?°* — zumindest vordergründig. Sie werden zudem nicht missbraucht, da dies 
schon rein begrifflich gemäß des Präfix „miss-“ einen höheren Stand voraussetzt, 
von dem das Wesen herabgewürdigt werden kann, sondern gebraucht anhand des 
dafür vorgesehenen Zwecks. Ebenso lassen sich keine Indizien eines Erwerbs 
der Würde iSd Leistungsgedankens erkennen. Wie bereits dargelegt investiert das 
autonome System regelmäßig nicht in eine eigene (digitale) Identität, sondern 
füllt seine Datenbank mit den Daten anderer und lernt aus diesen. Wenngleich es 


sich sodann menschlich oder gar emotional? 


verhält, so mangelt es zumindest 
an der Ausformung der Identität anhand des beschriebenen Wechselspiels der 


Umwelteinflüsse und inneren Bestrebungen”. 


252 Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 I, Rn. 36 mwN; Höfling in: Sachs, GG, 
Art. 1, Rn. 16 unter Verweis auf BVerfGE 109, 279 (312 f) sowie 115, 118 (153); Kunig in: 
von Münch/Kunig, GG, Art. 1, Rn. 22, 23; Geddert-Steinacher, Menschenwürde als Verfas- 
sungsbegriff, S. 31 ff. 

253 Vgl. Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 I, Rn. 34; Kunig in: von Münch/ 
Kunig, GG, Art. 1, Rn. 19; Geddert-Steinacher, Menschenwürde als Verfassungsbegriff, S. 33, 
34 f, 57 f; Kersten, JZ 2015, 1 (3, 4). 

254 Vgl. auch Mainzer, Leben als Maschine, S. 166. 

255 Im Detail zur Schaffung künstlicher emotionaler Intelligenz siehe Mainzer, Leben als Maschine, 
S. 174 ff, insbesondere 177 und 178 sowie 167 ff. 

256 Sub B.I.2. 
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Die von autonomen Systemen angelegte digitale Identität basiert folglich entwe- 
der auf personenbezogenen Daten Dritter oder auf Datenbanken in Form des Pro- 
grammiercodes ohne menschenähnliche Züge. Eine eigenständige Grundrechts- 
fähigkeit kann bei derzeitigem Stand der Technik folglich - noch immer?’ — 


ausgeschlossen werden. 


2. Das Konstrukt der ePerson — Die Anwendbarkeit 
von Art. 19 Abs. 3 GG 


Betrachtet man die haftungsrechtliche Ebene künstlicher Intelligenzen und auto- 
nomer Systeme, so findet sich als Zurechnungsobjekt des Öfteren das Konstrukt 
der ePerson in der Literatur. Seinen Ursprung hat die Begrifflichkeit, neben der 
Diskussion auf rechtswissenschaftlicher Ebene, auch in den Papieren der Arbeits- 
gruppe des Europäischen Parlaments.?°® Gemein ist allen Vorstellungen, dass 
es sich bei der ePerson um eine eigene Rechtspersönlichkeit für intelligente in- 
formationstechnische Systeme handelt.” Dieses eigenständige Rechtssubjekt ist 
vonnöten, wo künstliche Intelligenzen in Form von autonomen Systemen weiter- 
hin Einzug in den Alltag halten und infolgedessen auch Haftungsfälle möglich 


sowie problematisch erscheinen. ?° 


Um den verfassungsrechtlichen Bezug hierin zu sehen, bedarf es eines Rückgriffs 
auf den in Art. 19 Abs. 3 GG gefassten Grundgedanken: Die Erstreckung der 
Grundrechte auch auf juristische Personen dient der Erweiterung der Freiheiten 
natürlicher Personen. Wirken und schaffen diese nicht einzeln, sondern schließen 


257 Kersten, JZ 2015, 1 (7). Hinsichtlich der Robotik bereits ausschließend Spranger!/ 
Wegmann, Öffentlich-rechtliche Dimensionen der Robotik, S. 109 f. 

258 Die Dossiers sind abrufbar unter http://www.europarl.europa.eu/committees/de/juri/subject-fil 
es.html?id=20150504CDT00301. Insbesondere das Dossier vom 19.11.2015 von Bensoussan 
geht auf das Konstrukt ein. 

259 Kleiner, Die elektronische Person, S. 145, 21 ff.; Bleckat, RDV 2019, 114 (115 f); Bör- 
ding etal., CR 2017, 134 (140); Schaub, JZ 2017, 342 (345); Kluge/Müller, InTeR 2017, 24 
(29); umschreibend Kersten, JZ 2015, 1 (6). Grundweg ablehnend Riehm, RDi 2020, 42 (44 ff). 

260 So Börding et al., CR 2017, 134 (140); Schaub, JZ 2017, 342 (345 f); vgl. auch Wendehorst, NIW 
2016, 2609 (2609) und Riehm, RDi 2020, 42 (43 f). 
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sich auf dem Boden des Rechts zu Personenmehrheiten bzw. juristischen Perso- 
nen zusammen, darf dieser Bereich sich nicht dem Recht entziehen. Entsprechend 
gelten Grundrechte anwendungsspezifisch iSd Art. 19 Abs. 3 GG für juristische 
Personen, soweit die Freiheitsbereiche der natürlichen Personen die juristische 
Person durchwirken. Auch die von der Literatur vertretene grundrechtliche Ge- 
fährdungslage steht dem im Ergebnis nicht entgegen, führt diese in Bezug auf 
Art. 19 Abs. 3 GG doch ebenfalls zu einem Schutz vor speziellen Gefahren der 
wirtschaftlich orientierten und kollektiven Freiheitsausübung in Betrieben. 


Eine Übertragung dieser Voraussetzungen könnte durch eine Analogie gelingen, 
wobei es einer vergleichbaren Sachlage bedarf. Sie müsste also faktisch sowie 
materiell hinsichtlich Systematik, Geschichte oder telos der Norm vergleichbar 
sein.?°! Während es schon rein faktisch an einer anerkannten Rechtssubjektivität 
der künstlichen Intelligenz als ePerson mangelt, lässt sich eine Vergleichbarkeit 
ebenfalls nicht aus dem Durchgriffsargument des Art. 19 Abs. 3 GG folgern. Auch 
wenn der Benutzer einer künstlichen Intelligenz mit seinen Daten als personelles 
Substrat in den Handlungen des Systems nach außen durchzuschimmern vermag, 
so ist die Handlung letztendlich durch den Benutzer und nicht das System selbst 
bestimmt worden. Gleichermaßen besteht keine grundrechtliche Gefährdungslage 
für die künstliche Intelligenz selbst, sondern nur für den Benutzer.?% Als solcher 
kann er bei Nutzung der künstlichen Intelligenz als Teil eines informationstech- 
nischen Systems durch das Fernmeldegeheimnis des Art. 10 Abs. 1 GG oder die 
Privatheit der Wohnung des Art. 13 Abs. 1 GG geschützt sein. Spezifisch könnten 
auch die informationelle Selbstbestimmung oder das Recht auf Gewährleistung 
der Vertraulichkeit und Integrität des Systems aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG 
in Betracht kommen. Kommuniziert das System als Mittelsmann des Nutzers zwi- 
schen ihm und einem Dienstleister, so käme beispielsweise der besondere Schutz 
der Kommunikations- und Handlungsfreiheiten in Betracht.’ 


261 Zu den Voraussetzungen der Analogie siehe nur Luther, JURA 2013, 449 (451 f). 

262 Anders Kleiner, Die elektronische Person, S. 216, welcher für Menschen und ePersonen glei- 
chermaßen eine grundrechtliche Gefährdungslage annimmt. 

263 So Kersten, JZ 2015, 1 (7 f). 
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264 und Kleiner?‘ ist eine Analogie des 


Entgegen der Vorstellung von Kersten 
Art. 19 Abs. 3 GG auf Basis der Vorstellung eines eigenen Rechtssubjekts in 
Form der ePerson aus gezeigten Gründen abzulehnen. Anhand der aktuellen Ab- 
hängigkeit von menschlichen Eingaben, sei es über Sensoren oder die notwendi- 
ge Hinterlegung bestimmter Handlungen im Programmcode, kann nur auf eine 
schwache künstliche Intelligenz geschlossen werden. Ob sich hinsichtlich starker 
künstlicher Intelligenzen in Robotern oder anderen autonomen Systemen eine 
Analogie des Art. 19 Abs. 3 GG ergibt, da diese ebenfalls unter den Begriff der 
autonomen Systeme fallen, kann aufgrund der anders liegenden Gefährdungssi- 
tuationen sowie der notwendigen Einzelfallprüfung der funktionalen Anwendung 
nicht aus dem vorliegenden Ergebnis geschlossen werden. 


3. Autonome Systeme und Tierschutz gem. Art. 20a 
GG 


Auf den ersten Blick mag dieser letzte Aspekt irreführend erscheinen, handelt 
es sich bei Tieren doch ebenfalls um Lebewesen, wohingegen autonome (un- 
körperliche) Systeme entsprechend „leblos“ sind. Die Idee der Anwendbarkeit 
entspringt allerdings nicht der Lebendigkeit des autonomen Systems, sondern der 
Konstellation zwischen Mensch und System, welche in gewissen Zügen der des 
Menschen zum Tier ähnelt. So weist gerade das Abhhängigkeitsgefälle zwischen 
Mensch und unkontrollierbarem Tier, welches sich in der Tierhalterhaftung des 
$ 833 BGB niedergeschlagen hat,?° Ähnlichkeiten zur Unvorhersehbarkeit der 
Entscheidungen einer künstlichen Intelligenz geeignete Parallelen auf.?°7 


Auf verfassungsrechtlicher Ebene verbleibt mangels ausreichender eigener Persön- 
lichkeit daher die Möglichkeit, die Rolle auch verfassungsrechtlich mittels einer 


264 Kersten, JZ 2015, 1 (7/8). 

265 Kleiner, Die elektronische Person, S. 216. 

266 Vgl. Spindler in: Hau/Poseck, BeckOK BGB, $ 833, Rn. 1. 

267 Entsprechend wird sich bei einer möglichen Haftung auch auf diese Normen bezogen, siehe 
Brunotte, CR 2017, 583 (585 f). 
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Analogie gleichzusetzen. Artikel 20a des Grundgesetzes enthält diesbezüglich 
die Staatszielbestimmung?® des Tierschutzes und somit den Auftrag des Staates, 
Tiere individuell vor Schmerzen, Leiden und Schäden zu bewahren, vgl. $ 1 S. 2 
TierSchG. Sie sind in ihrer „Mitgeschöpflichkeit“ zu achten. Darunter ist aller- 
dings nicht die rechtliche oder ethische Gleichstellung des Menschens mit dem 
Tier zu verstehen, sondern ausschließlich die ethische Verantwortung. 6? Je nach 
Sicht auf Art. 20a GG im Gesamtgefüge tritt auch der Schutz des Eigenwertes der 
Tiere hinzu, folgt man der pathozentrischen Sichtweise.” Die daraus erwachsen- 
de Schutzpflicht bezieht sich insbesondere auf höher entwickelte Tiere, die eine 
entsprechend höhere Leidens- und Empfindungsfähigkeit aufweisen. Demzufolge 
sind Tiere nach ethischen Maßstäben zu schützen.?’! Sowohl ethische als auch 
Maßstäbe des Leidensschutzes scheinen für ein technisches Wesen ohne Gefühle 
oder die Fähigkeit zur Qual ungeeignet. Vielmehr führen Schäden am System 
zur Sachbeschädigung iSd $ 303 Abs. 1 StGB. Weiterhin weist die Stellung des 
Art. 20a GG außerhalb der Art. 1-19 GG auf ein anthropozentrisches Weltbild 
hin. Artikel 20a GG dient lediglich dem Schutz der natürlichen Lebensgrundlagen 
des Menschen.”’* Damit schließt sich der Kreis der Argumentation: Der Mensch 
ist und bleibt daher in seiner Rechtssubjektivität Bezugs- und Zuordnungspunkt 
für jede verfassungsrechtliche Gewährleistung; Recht ist und bleibt „eine genuin 


a) 
humane Kategorie“??? 


268 Zum Terminus der Staatszielbestimmung siehe Murswieck in: Sachs, GG, Art. 20a, Rn. 17-21; 
von Coelln in: Gröpl/Windthorst/von Coelln, StuKo GG, Art. 20a, Rn. 4 ff. 

269 Murswieck in: Sachs, GG, Art. 20a, Rn. 31b; Caspar/Schröter, Das Staatsziel Tierschutz in 
Art. 20a GG, S. 39 f. Vgl. auch Huster/Rux in: Epping/Hillgruber, BeckOK GG, Art. 20a, Rn. 
18-19; Matthias, Automaten als Träger von Rechten, S. 170, 172. 

270 Derart Sommermann in: von Münch/Kunig, GG, Art. 20a, Rn. 33. Zur Problematik Fal- 
ler, Staatsziel „Tierschutz“ — Vom parlamentarischen Gesetzgebungsstaat zum verfassungs- 
gerichtlichen Jurisdiktionsstaat?, S. 107 ff. 

271 BVerfGE 127, 293 (328); Murswieck in: Sachs, GG, Art. 20a, Rn. 31b; von Coelln in: Gröpl/ 
Windthorst/von Coelln, StuKo GG, Art. 20a, Rn. 17. 

272  Murswieck in: Sachs, GG, Art. 20a, Rn. 22 f, Faller, Staatsziel „Tierschutz“ — Vom parlamen- 
tarischen Gesetzgebungsstaat zum verfassungsgerichtlichen Jurisdiktionsstaat?, S. 109, 110 f 
mit weiteren Bestrebungen der Auslegung und Einordnung. 

273 Scholz in: Maunz/Dürig, GG-Kommentar, Art. 20a, Rn. 75. 
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4. Grundrechte für Automaten: Eine Aufgabe des 
Gesetzgebers? 


Festzuhalten bleibt daher, dass bestehende autonome Systeme mangels hinreichen- 
der Nähe und Ähnlichkeit und damit auch Erfüllung der Voraussetzungen weder 
als Mensch iSd Grundgesetzes noch analog als juristische Person iSv Art. 19 Abs. 3 
GG oder Tier iSv Art. 20a GG einzuordnen sind. Stattdessen dient die Nutzung 
autonomer Systeme gegenwärtig der Ausübung digitaler Aspekte der grundrecht- 
lich geschützten Freiheiten, welche wiederum auf den jeweiligen Nutzer — also 
eine natürliche oder juristische Person — zurückzuführen ist. Diese Trennung von 
Technik und Mensch spiegelt auch Art. 12 Abs. 1 LVerf Bremen wider: „Der 
Mensch steht höher als Technik und Maschine.“ Die Aufgabe des Gesetzgebers, 
eine diesbezügliche Rechtsklarheit bei der Haftung autonomer Systeme oder der 
Würdigung und Einordnung derartiger Systeme generell zu erreichen, folgt aus 
dem allgemeinen Grundsatz des Rechtsstaatsgebotes gem. Art. 20 Abs. 1, Abs. 3 
GG sowie der Schutzpflichten-Wirkung der Grundrechte der Verfassung. Dabei 
ist die dynamische Entwicklung auf dem Gebiet entsprechend einzubeziehen, 
weshalb sich eine Transparenz der Systeme, beispielsweise unter Betrachtung des 


Ansatzes der explainableAT?’* 


, ermöglichen lässt. Ob es darüber hinaus noch 
der Erweiterung der Rechtssubjekte des Grundgesetzes bzgl. autonomer Systeme 
in Form von Robotern notwendig ist, bedarf einer eigenen wissenschaftlichen 


Untersuchung. 


V. Zusammenfassung 


Durch eine umfängliche Betrachtung inter- wie intradisziplinärer Ansätze der De- 
finition digitaler Identitäten ist es gelungen, eine einheitliche Definition für die 


274 Zur Thematik Holzinger, Informatik Spektrum 2018, 138 ff, Käde/von Maltzan, CR 2020, 66 
ff. 
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weitere Untersuchung sowie die Rechtswissenschaft im Allgemeinen zu erarbei- 
ten: Eine digitale Identität ist eine Sammlung von Attributen mit einem entspre- 
chenden Identifier. Der Identifier übernimmt dabei die Rolle der Zuordnung bei 
der Nutzung des Profils, unabhängig vom Bewusstsein über Existenz oder Nut- 
zung. Dabei kommt es nicht darauf an, ob der Identifier seinem namentlichen 
Zweck - der Identifizierung — nachkommt und eine Zuordnung zu einer Person 
ermöglicht. Ist letzteres jedoch der Fall, handelt es sich bei der personenbezogenen 
digitalen Identität um die bereits datenschutzrechtlich eruierte Variante des Per- 
sönlichkeitsprofils, aktuell normiert als Basis des Profilings gem. Art. 22 DSGVO. 
Darüber hinaus kommt es nicht auf das Bewusstsein der Erzeugung einer digitalen 
Identität oder deren Personenbeziehbarkeit an, sodass auch Browser-Fingerprints 


«275 


und ähnliche „Schattenprofile unter die dargestellte Definition zu subsumieren 


sind. 


Diese materielle Definition musste allerdings um zeitliche Aspekte erweitert wer- 
den, um das Ausmaß einer digitalen Identität vollumfänglich abzubilden. In- 
formationell kann sie daher sowohl Informationen aus pränatalen Lebensphasen 
enthalten sowie postmortal fortbestehen bleiben. In der rechtswissenschaftlichen 
Betrachtung spiegelt sich diese Weite konsequent in einem pränatalen Schutz der 
informationellen Selbstbestimmung mit Nähe zu Art. 1 Abs. 1 GG sowie einem 
postmortalen Datenschutzrecht als Reflex auf die prämortale Handhabe über die 
(eigenen) personenbezogenen Daten wider. Nichts anderes kann vorliegend gelten, 
gibt es doch kein „belangloses Datum“?’6. Überdies lassen sich auch entsprechen- 
de digitale Gefährdungen privatrechtlicher juristischer Personen iSd Art. 19 Abs. 3 
GG erkennen, welche einem grundrechtlichen Schutz unterliegen könnten. Ab- 
schließend wurde aufgezeigt, dass die Erstreckung des Begriffs auf künstliche, 
autonome Systeme nicht auf einer eigenständigen verfassungsrechtlichen Basis 


275  Erstmalige medienwirksame Erläuterung des Begriffs auf netzpolitik.org: https://netzpolitik. 
org/2018/ob-nutzer-oder-nicht-facebook-legt-schattenprofile-ueber-alle-an/. Eine erste wis- 
senschaftliche Auseinandersetzung im Bereich Data Science findet sich in Garcia, Science 
Advances 2017, e17011172. 

276 BVerfGE 65, 1 (45). 
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möglich ist, sondern auf den digitalen Identitäten der Nutzer und damit der fort- 
hin im Fokus stehenden verfassungsrechtlichen Rechtssubjekte basiert. Künstliche 
Identitäten sind damit — nach dem begrifflichen Verständnis dieser Arbeit — nicht 
Gegenstand grundrechtlichen Schutzes. Ob und inwieweit die Verfassung inher- 
enten Schutz der digitalen Identitäten natürlicher und juristischer Personen bietet, 
ist Gegenstand der weiteren Prüfung. 
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Schutzkonzepte 


Die Schutzpflicht des Staates ist umfassend. 
— BVerfGE 39, 1 (42) — Schwangerschaftsabbruch 


Bevor sich der konkreten Prüfung der verfassungsrechtlichen Schutzgüter zuge- 
wandt wird, bedarf es einer abstrakten Betrachtung des generellen Schutzkon- 
zepts der Verfassung einschließlich ihrer einzelnen Spielarten. Als Orientierung 
dient hierbei die extensive Interpretation der Grundrechte als subjektiv-Öffentliche 
Rechte, sodass von der augenscheinlichen Wirkung der Grundrechte als Abwehr- 
und Leistungsrechte hin zur Betrachtung als objektiv-rechtliche Garantien und 
Staatsaufgaben bzw. Schutzpflichten?’’ der Gesamtcharakter der Art. 1-19 GG 
dargestellt wird. Ungeachtet der Betrachtung der Grundrechte im Lichte der 
Instituts- und institutionellen Garantien sei im Folgenden in Anlehnung an die 
Nomenklatur Jellineks?”, beginnend beim Primat der Grundrechtsfunktionen, 


277 Zu dieser Betrachtungsweise siehe auch Zsensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 25. 

278 Hierzu detailliert Jellinek, System der subjektiv öffentlichen Rechte, S. 94 ff zu den einzelnen 
Status im Besonderen. Bei der Einbeziehung sei allerdings zu beachten, dass die von Jelli- 
nek eingeführte Systematik nicht universell anwendbar ist, gestaltet sich die Einordnung von 
Gleichheits- und Prozessgrundrechten entsprechend schwierig. Gleichwohl kommt dem syste- 
matischen Verständnis bis dato ein entsprechender Stellenwert zu. Auf den Lehren fußend sei 
daher die normative Betrachtungsweise einzubeziehen, als unter dem status negativus haupt- 
sächlich Abwehrrechte zu verstehen sind, während der status positivus sich — entsprechend der 
Definition — auf Rechte mit begünstigender, dienender Wirkung aufseiten des Bürgers bezieht. 
Zum Wandel des Begriffsverständnisses sowie den kritischen Stimmen siehe vgl. Sachs in: 
Sachs, GG, Vor Art. 1, Rn. 24 f sowie Stern, StaatsR IN/1, S. 426 ff; Alexy, Theorie der 
Grundrechte, S. 243 ff, Kloepfer, VerfR II, $ 48, Rn. 6, 7. 
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das theoretische Konstrukt des status negativus sowie des status positivus als Ge- 
genstück herauszuarbeiten und anschließend auf das Konstrukt der Schutzpflicht 
einzugehen. Bezugnehmend auf die Definition der digitalen Identität wird so- 
dann auf digitale Bezüge der jeweiligen Kategorie eingegangen und die generelle 
Anwendbarkeit im Lichte der digitalen Identität überprüft. 


Der von Jellinek weiterhin erwähnte status activus als Gegenstück zum status 
passivus, dem bloßen Unterworfensein bezüglich der Macht des Staates,’ kann 
für die weitere Bearbeitung allerdings ausgeklammert werden: Unter dem status 
activus wird regelmäßig die Partizipation am Leben im Staat durch Wahrnehmung 
und Ausübung grundrechtlicher Freiheiten verstanden, welche auf einer Kompe- 
tenz zur Freiheitsausübung fußt.”®° Konkretisiert wird dies durch die einzelnen 
staatsbürgerlichen Rechte und Pflichten wie beispielsweise das Wahlrecht des 
Art. 38 Abs. 1 S. 1 GG oder das Widerstandsrecht gem. Art. 20 Abs. 4 GG. So 
nährt sich dieser Zustand aus dem Wechselverhältnis zwischen der staatlichen Ge- 
währleistung der Freiheiten und der Notwendigkeit deren Nutzung für den Erhalt 
und die Funktion des Staates.”®! Er ergibt sich damit aus der Verknüpfung der ein- 
zelnen status.?®? Die bloße Wahrnehmung der Grundrechte in technisch-digitaler 
Hinsicht ist vorliegend nicht in Frage gestellt, im Gegenteil: Das Bereithalten und 
Nutzen einer digitalen Identität erscheint angesichts aktueller technischer Systeme 
unumgänglich. So ergibt sich die Kompetenz zu dieser Freiheitsausübung schon 
aus Art. 2 Abs. 1 GG (Stichwort: Privatautonomie”®°), insbesondere in Verbin- 
dung mit Art. 1 Abs. 1 GG in Form des Allgemeinen Persönlichkeitsrechts. Dies 
schlägt sich auch in direkten Plänen hinsichtlich der Digitalisierung des Staates 


279  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 49; als status subiectionis bezeichnend 
Alexy, Theorie der Grundrechte, S. 230. 

280 Jellinek, System der subjektiv öffentlichen Rechte, S. 136 ff; Alexy, Theorie der Grundrechte, 
S. 242; Schwabe, Probleme der Grundrechtsdogmatik, 278 ff, insbes. 284 f; Herdegen in: 
Maunz/Dürig, GG-Kommentar, Art. 1 III, Rn. 15; Kingreen/Poscher, Staatsrecht II, Rn. 99 f, 
Kloepfer, VerfR II, $ 48, Rn. 29; Hufen, Staatsrecht II, $ 5, Rn. 11. Kritisch zur Einordnung 
Dreier, JURA 1994, 505 (507). 

281 Kloepfer, VerfR II, $ 48, Rn. 5; Dreier in: Dreier, GG, Vorb., Rn. 80. 

282 Alexy, Theorie der Grundrechte, S. 243. 

283 Vgl. BVerfGE 81, 242 (254); Lang in: Epping/Hillgruber, BeckOK GG, Art. 2, Rn. 5a; Kahl in: 
Kahl/Waldhoff/Walter, BonnK GG, Art. 1 III, Rn. 365. 
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und seiner Institutionen nieder, sodass z.B. die Einführung des elektronischen 
Identitätsnachweises (kurz: eID) als Teil des Personalausweises gem. $ 10 Abs. 1 
PAuswG obligatorisch ist. Auch besteht ein status passivus in dem Sinne nicht, 
bleibt dem Inhaber des Personalausweises doch (zumindest aktuell) die Möglich- 
keit, die eID im privaten Gebrauch zu nutzen und zumindest in dieser Weise seine 
Informationen selbstbestimmt weiterzugeben.?®* Anderweitig ist nicht ersichtlich, 
inwieweit die Funktionen des Staates auf der Nutzung einer digitalen Identität fu- 
ßen bzw. der Staat auf diese angewiesen ist. Als Beispiel hierfür sei die Nutzung 
digitaler Identitäten in sozialen Netzwerken erwähnt: Wenngleich der (politische) 
Diskurs und die Wahrnehmung der Meinungsfreiheit des Art. 5 Abs. 1 S. 1 Alt. 1 
GG unter Nutzung digitaler Identitäten eine digitale Prägung erhält, so ist die 
Nutzung digitaler Infrastrukturen für den Staat nicht konstituierend. Ein bloßes 
Unterworfensein aufgrund eines Gewährenlassens digitaler Meinungsbildung ist 
demnach nicht ersichtlich. Mithin sind status activus wie passivus für die weitere 
Einordnung der Schutzwirkungen des Grundgesetzes mit Blick auf die digitale 
Identität unerheblich. 


Daher ist sich zunächst auf den status negativus und positivus der Grundrechte 
zu fokussieren. Diese Bipolarität der Wirkungsweise lässt sich schon aus der das 
Grundgesetz einleitenden Norm des Art. 1 Abs. 1 GG herauslesen: „Die Würde 
des Menschen ist unantastbar. Sie zu achten und zu schützen ist Verpflichtung 


aller staatlichen Gewalt.“ Der Satz 2 des Art. 1 Abs. 1 GG benennt expressis 


verbis die beiden Wirkrichtungen der Grundrechte,®° welche sich entgegen des 


Wortlauts des Art. 1 Abs. 1 S. 2 GG - „Sie zu achten und zu schützen [...]“ — 


286 


durch den Menschenwürdekern der Grundrechte“ auf den gesamten Katalog der 


284 Während es dem Besitzer des Personalausweises im privaten Gebrauch — also bei Online- 
Bestellungen im Internet oder bei der sonstigen Authentisierung des Nutzers - freigestellt ist, 
diese Funktion des Identitätsnachweises zu nutzen, so ist der elektronische Identitätsnachweis 
gegenüber staatlichen bzw. öffentlichen Stellen verpflichtend. Eine Liste der privaten Diens- 
teanbieter mit eID-Berechtigung entsprechend $ 21 PAuswG ist öffentlich einsehbar — siehe 
http://download.gsb.bund.de/V fB/npavfb.pdf. 

285 So auch Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 27 f sowie vgl. BVerfGE 1, 97 (104). 

286 Siehe hierzu Kloepfer, VerfR II, $ 55, Rn. 2; Herdegen in: Maunz/Dürig, GG-Kommentar, 
Art. 1 I, Rn. 21 f. 
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Art. 1-19 GG erstrecken?®’. Auch dies lässt sich mit dem Wortlaut des Art. 1 
Abs. 3 GG herleiten, da die „nachfolgenden Grundrechte“ schon der Überschrift 
nach die Menschenwürde einschließen. Die Menschenwürde stellt somit den „ar- 
chimedischen Punkt des Verfassungsstaates‘“?®® dar. 


l. Der status negativus der Grundrechte 


1. Allgemeine Charakteristika des Abwehrrechts 


Dem Charakter der Grundrechte als Abwehrrechte, den Jellinek als status nega- 


tivus bezeichnet, kommt in der Gesamtbetrachtung eine vorrangige Bedeutung 


zu’, Die Grundrechte sind in ihrer Funktion „in erster Linie Abwehrrechte‘“?, 


291 Zum einen 


weshalb sie auch als Klassisch-liberale Funktion bezeichnet wird 
lässt sich dies wie erwähnt am Wortlaut des Art. 1 Abs. 1 S. 2 GG erkennen, da 
dieser auf die Verpflichtung des Staates zur Achtung der Grundrechte verweist. 


Die Freiheit des Bürgers ist demnach die Freiheit vom Staat??? 


, zugunsten der 
Selbstbestimmung und autonomen Lebensgestaltung?”>. Allein der Grundrechts- 


träger als Schutzsubjekt entscheidet darüber, ob und welchen Gebrauch er von 


287 Zippelius in: Kahl/Waldhoff/Walter, BonnK GG, Art. 1 I u. II, Rn. 19; Schwabe, Probleme der 
Grundrechtsdogmatik, S. 229 f. 

288 Haverkate, Verfassungslehre, S. 142; Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 I, 
Rn. 21. An einer derartigen Analogie zweifelnd Isensee in: Isensee/Kirchhof, HStR IX, $ 191, 
Rn. 28. 

289 v. Münch/Kunig in: von Münch/Kunig, GG, Vorb. Art. 1-19, Rn. 21; Maurer, Staatsrecht I, $ 
9, Rn. 23; mit historischen Bezügen Kingreen/Poscher, Staatsrecht II, Rn. 116. 

290 BVerfGE 7, 198. 

291  Murswiek in: Isensee/Kirchhof, HStR IX, $ 192, Rn. 97; Kloepfer, VerfR II, $ 48, Rn. 7, 13. 
Zur liberalen Grundrechtstheorie im Allgemeinen Böckenförde, NIW 1974, 1529 (1530 f); 
Ipsen, JZ 1997, 473 (476)). 

292  Kloepfer, VerfR II, $ 48, Rn. 13; zum historischem Bezug Kingreen/Poscher, Staatsrecht II, 
Rn. 89. 

293 Dreier, JURA 1994, 505 (505). Vgl. auch Sachs in: Merten/Papier, HGr II, $ 39, Rn. 21; 
Di Fabio in: Merten/Papier, HGr II, $ 46, Rn. 40; Jellinek, System der subjektiv öffentlichen 
Rechte, S. 94 f. 
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seinen Freiheitsrechten macht.?°* Oder, so Jellinek: „Es ist die der individuellen 
Freiheitssphäre, [...] in welcher die streng individuellen Zwecke durch die freie 
Tat des Individuums Befriedigung finden.“ Demgemäß lässt sich die erwähnte 
klassisch-liberale Funktion auch in concreto dem Wortlaut einzelner Grundrech- 
te entnehmen.?” Beispielsweise sind das Post-, Brief- und Fernmeldegeheimnis 
des Art. 10 Abs. 1 GG sowie der Schutz der Wohnung iSd Art. 13 Abs. 1 GG 


„unverletzlich“.2?7 


Abwehrrechte kennzeichnet daher per definitionem die Abwehr von Beeinträchti- 
gungen hinsichtlich der verfassungsrechtlich geschützten Güter oder Interessen. ??® 
Eine Verletzung dieser von Seiten des Staates ist schlechthin verboten,” schließ- 
lich handelt es sich in ihrer Gesamtheit gemäß der Erklärung des Art. 1 Abs. 2 
GG um unverletzliche und unveräußerliche Güter. An ihre Wahrung und Achtung 
ist der Staat einschließlich seiner Gewalten gem. Art. 1 Abs. 3 GG gebunden. 
Ein solches Verständnis schließt staatliche Eingriffe und Beschränkungen aller- 


dings nicht aus:?" 


Kommt es dennoch zu einer Verletzung eines Rechtsguts, so 
besteht neben der primären Funktion der Grundrechte als Abwehrrecht sekundär 
die Funktion des Hilfsanspruchs.°”' Diese leitet sich jedoch nicht unmittelbar aus 
der Verfassung ab, wie es beispielsweise in einfach-gesetzlichen Normen kodifi- 
ziert ist. Eher dienen sie als objektive Rechtssätze in der Form von (subjektiven) 
Anspruchsnormen dazu, mittels abschließender Verpflichtungen die Grundrechts- 
gehalte vor Beeinträchtigungen zu schützen oder ebendiese, sofern bereits beein- 
trächtigt, zu entschädigen.’°” Aus den Grundrechten der Art. 1-19 GG lässt sich 


aus prozessualer Sicht im Wege einer Verfassungsbeschwerde allerdings nur die 


294  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 71. 

295 Jellinek, System der subjektiv öffentlichen Rechte, S. 87. 

296 So auch Murswiek in: Isensee/Kirchhof, HStR IX, $ 192, Rn. 97. 

297 Weitere nennend Dreier, JURA 1994, 505 (505 f). 

298 Vgl. Sachs in: Merten/Papier, HGr II, $ 39, Rn. 7. 

299 Sachs in: Merten/Papier, HGr II, $ 39, Rn. 7; Poscher, Grundrechte als Abwehrrechte, S. 156 
f, Jellinek, System der subjektiv öffentlichen Rechte, S. 105; Schröder, JA 2016, 641 (641). 

300 Dreier, JURA 1994, 505 (506); vgl. Jellinek, System der subjektiv öffentlichen Rechte, S. 95. 

301 Sachs in: Merten/Papier, HGr II, $ 39, Rn. 8. 

302 Sachs in: Merten/Papier, HGr II, $ 39, Rn. 39; vgl. auch Dreier, JURA 1994, 505 (506). 
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Möglichkeit der Geltendmachung eines Unterlassungsanspruchs ableiten’, ggf. 


auch die Beseitigung eines Zustandes?’ 


305 


, mitnichten jedoch Schadenersatz- und 
Entschädigungsansprüche 


Neben jenem, dem Begriff des Abwehrrechts immanenten, hoheitlichen Eingriff 
kommt bei der hiesigen Betrachtung ebenfalls dem Eingriff auf gleicher Ebene, 
also von Privaten, entsprechende Bedeutung zu. Denn gleichwohl sie bei Be- 
trachtung des Wortlauts des Art. 1 Abs. 3 GG nicht als Grundrechtsgebundene 
erster Stunde in Betracht kommen mögen, besteht die Möglichkeit einer derar- 
tigen Wirkung der Grundrechte. Eine unmittelbare Wirkung?” kann jedoch von 
vornherein ausgeschlossen werden: Nicht nur Art. 1 Abs. 3 GG lässt hierauf 
schließen,’ sondern auch die sporadische Regelung einer ausdrücklichen unmit- 
telbaren Grundrechtswirkung in den Art. 9 Abs. 3 S. 2 oder 20 Abs. 4 GG." 
Darüber hinaus erscheint es zweckwidrig, die Grundrechte auf allen subjektiven 


303 Sachs in: Merten/Papier, HGr II, $ 39, Rn. 44 f, 46; Dreier in: Dreier, GG, Vorb., Rn. 101; Isen- 
see in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 145; Jellinek, System der subjektiv öffentlichen 
Rechte, S. 106; Schwabe, Probleme der Grundrechtsdogmatik, S. 19; Kingreen/Poscher, Staats- 
recht II, Rn. 120; vgl. auch Ipsen, JZ 1997, 473 (476). 

304 Sachs in: Merten/Papier, HGr II, $ 39, Rn. 48 f.. 

305 Sachs in: Merten/Papier, HGr II, $ 39, Rn. 53. Diese können stattdessen zivilrechtlich über 
das grundrechtliche Einfalltor des $ 823 Abs. 1 BGB als „sonstiges Recht“ geltend gemacht 
werden. Gegebenenfalls kann auf dem Gebiet des öffentlichen Rechts auch auf den Folgenbe- 
seitigungsanspruch zurückzugreifen sein — so Peine in: Merten/Papier, HGr MI, $ 57, Rn. 2; 
Rüfner in: Merten/Papier, HGr II, $ 40, Rn. 5 f; Kingreen/Poscher, Staatsrecht II, Rn. 124. 
Andernfalls ist Sachs beizupflichten, dass es bei Ermangelung ausreichenden Regresses und 
irreparablen Grundrechtsbeeinträchtigungen die Aufgabe des Gesetzgebers ist, nachzubessern. 
Die Schließung etwaiger Lücken durch richterliche Rechtsfortbildung sei nur vorübergehend in 
Betracht zu ziehen. 

306 Darunter ist die unmittelbare Wirkung der Grundrechte auf das Verhältnis zwischen Bürgern 
sowie juristischen Personen des Privatrechts gemeint, sofern letztere sich auf diese gem. Art. 19 
Abs. 3 GG berufen können. Diese Ansicht, zunächst von BAG (siehe BAGE 1, 185 (193 f) 
sowie 4, 274 (276 f) — geändert in BAGE 48, 122 (138)) vertreten, vertrat in der Literatur 
neben einigen anderen vorwiegend Nipperdey — siehe nur Nipperdey in: Nipperdey, FS Molitor 
(1962), 17 (25); Leisner, Grundrechte und Privatrecht, S. 332 f und Stern, StaatsR IIV1, S. 
1538 f mwN. Weitere Vertreter nennend Schliesky etal., Schutzpflichten und Drittwirkung im 
Internet, S. 58, Fn. 225. Zur Kritik im Einzelnen siehe Stern, StaatsR IV/1, S. 1543 ff. 

307 Hierzu vertiefend Poscher, Grundrechte als Abwehrrechte, S. 223 f. 

308  Kloepfer, VerfR II, $ 50, Rn. 50; Canaris, Grundrechte und Privatrecht, S. 34. Weitere nennend 
Kingreen/Poscher, Staatsrecht II, Rn. 198; Maurer, Staatsrecht I, $ 9, Rn. 37. 
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Ebenen gleichermaßen gelten zu lassen. So würde eine solche Deutungsweise im 
Ergebnis zu einer weitgehenden Freiheitsbeschränkung führen”, die Grenzen 
der gegenseitigen Beschränkung endgültig verschwimmen und die Verfassungs- 
beschwerde nicht mehr effektives Mittel zur subsidiären Abwehr von Grundrechts- 
beeinträchtigungen gem. $ 90 Abs. 2 S. 1 BVerfGG sein. Stattdessen ist von einer 
mittelbaren Drittwirkung der Grundrechte auszugehen, die sich aus der objektiven 
Werteordnung der Art. 1-19 GG ergibt und durch Einfalltore die Rechtsgebiete 
im Einzelnen durchdringt.°!® Unbestimmte Rechtsbegriffe werden demgemäß im 
Lichte der Grundrechte der Betroffenen ausgelegt und angewandt. Folglich richtet 
sich der Charakter des Abwehrrechts hauptsächlich gegen die hoheitliche Gewalt, 
in mittelbarer Weise und durch andere status aber auch gegen Eingriffe Privater. 


Somit prägt das grundrechtliche bzw. abwehrrechtliche Verständnis in beiden 
Richtungen der Eingriff, was sich in der Grundrechtsprüfung allgemein nach wie 
vor niederschlägt.°!! Ihm kommt gewissermaßen eine Schlüsselfunktion zu?!?: 
Erst im Falle eines Eingriffs entwickelt sich die abwehrrechtliche Dimension 
des zu verteidigenden Grundrechts, zugleich aber die Kennlinie des Schutzberei- 


ches.?!? Dabei kann er als klassischer Eingriff iSe finalen und unmittelbaren sowie 


309  Kingreen/Poscher, Staatsrecht II, Rn. 198. 

310 BVerfGE 7, 198 (204) auf Basis von Dürig in: Maunz/Dürig, GG-Kommentar (1968), Art. 1 I, 
Rn. 16 sowie Dürig, AöR 81 (1956), 117 (123 f); Böckenförde, Der Staat 29 (1990), 1 (16, 10 
f). 

311 Zum dreigliedrigen Anwendungsschema siehe im Detail Schröder, JA 2016, 641 sowie Isen- 
see in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 52; Peine in: Merten/Papier, HGr III, $ 57, Rn. 4; 
Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 IN, Rn. 29 f; Kloepfer, VerfR II, $ 51, Rn. 
2; Kielmansegg, JuS 2008, 23; Couzinet, JuS 2009, 603 (606); Hoffmann-Riem, Der Staat 43 
(2004), 203 (215 mit Bemerkung in Fn. 46); vgl. auch Murswiek, Der Staat 45 (2006), 473 (474 
ff). Ein viergliedriges Aufbauschema vorschlagend dagegen Merten in: Merten/Papier, HGr M, 


$ 56, Rn. 17. 

312  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 106; vgl. Peine in: Merten/Papier, HGr MI, 
$ 57, Rn. 8. 

313 Vgl. Sachs in: Sachs, GG, Vor Art. 1, Rn. 79; als Aktivierung bezeichnend Dreier in: Dreier, GG, 
Vorb. Rn. 66. 
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314 


zwangsweisen Rechtsaktes”'* oder sonstige grundrechtsverkürzende Maßnahme 


315 


iSd erweiterten bzw. modernen Eingriffsbegriffs’'” auftreten. 


Ähnlich kontrovers zwischen einem engen (klassischen) und weiten (modernen) 
Verständnis ist allerdings auch die durch den Eingriff umgrenzte Auslegung des 
Schutzbereichs sowie Schutzguts?'® diskutiert. Während bezüglich der üblichen 
Auslegungsmethoden wie die Einbeziehung historisch gewachsener Zusammen- 


hänge und die Systematik des Grundgesetzes?!” 


, einer begrenzenden bzw. aus- 
schließenden Wirkung bei rechtlich oder sozialethisch verwerflichem Verhalten?!’ 
sowie dem Gebot des neminem laedere?!’ Einigkeit besteht, wird dagegen der 
Grundrechtstatbestand wahlweise eng oder weit bemessen. So sieht Jellinek die 
Grundrechte als durch den Gesetzgeber bestimmte Freiheiten an und lehnt eine 
Wirkung der Grundrechte abseits der (einfach-)gesetzlich ausgestalteten Frei- 
heiten ab.”?° Ein derart enges Verständnis mag die historischen Wurzeln der 


Grundrechte anerkennen und so den Verfassungsrang des Wortlauts durch eine 


314  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 111; Kloepfer, VerfR II, $ 51, Rn. 25. 

315 Zu den einzelnen Kriterien siehe Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 113; 
Kingreen/Poscher, Staatsrecht II, Rn. 294; Kloepfer, VerfR II, $ 51, Rn. 31. Kritisch zur 
Erweiterung des klassischen Eingriffsbegriffs Ipsen, JZ 1997, 473 (478). 

316 Insoweit sind Schutzbereich und Schutzgur zu differenzieren: Terminologisch meint das Schutz- 
gut den thematisch-materiellen Kern des Grundrechts, beim Schutzbereich dagegen die Reich- 
weite bzw. der Rahmen des Schutzguts und die dazugehörigen Begrenzungen. Hierzu ausführ- 
lich Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 56, 57, 71 sowie vgl. Ipsen, JZ 1997, 
473 (475 f). 

317  Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 M, Rn. 34; erschöpfend Ossenbühl in: 
Merten/Papier, HGr I, $ 15; Schröder, JA 2016, 641 (642 f); Kingreen/Poscher, Staatsrecht II, 
Rn. 285 f, Hoffmann-Riem, Der Staat 43 (2004), 203 (229). 

318 Siehe exemplarisch zum Merkmal der erlaubten Tätigkeit im Rahmen des Art. 12 Abs. 1 GG 
vgl. BVerfGE 7, 377 (397 f); 14, 19 (22); 81, 70 (85 f); 115, 276 (300) sowie Isensee in: 
Isensee/Kirchhof, HStR IX, $ 191, Rn. 95 f. Ebenfalls hierzu zählt der Ausschluss jeglichen 
sozialschädlichen, missbräuchlichen oder unfriedlichen Verhaltens — BVerwGE 1, 303 (307); 
Stern, StaatsR II/2, S. 530 ff; Schröder, JA 2016, 641 (646). Als Gebot der Friedlichkeit 
bezeichnend Muckel, FS Schiedermair, S. 347 (353 f). 

319 Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2, Rn. 44; Murswiek in: Sachs, GG, Art. 
2, Rn. 91; Kloepfer, VerfR II, $ 56, Rn. 39. Anhand der Entscheidungen des BVerfG zum 
Schwangerschaftsabbruch exerzierend siehe Muckel, FS Schiedermair, S. 347 (348 f, 356 f). 

320 Jellinek, System der subjektiv öffentlichen Rechte, S. 44 ff — „Um das Gut oder Interesse 
zu Schützen, muss daher die Rechtsordnung in erster Linie die menschliche Willensmacht 
anerkennen und schützen.“ 
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restriktive Auslegung in den Vordergrund zu rücken.’?! Die entgegengesetzte, 
dynamische Lesart des Grundrechtsverständnisses könnte allerdings dazu dienen, 
den Wandel der Lebenswirklichkeit auf die Auslegung des Grundrechtstabestan- 
des zu übertragen.?”? Schließlich sind die Grundrechte schon intrinsisch weit, 
allgemein und offen.’ Dennoch darf die demzufolge extensive Auslegung sich 
nicht vollumfänglich der Grenzen des Schutzbereiches entledigen, da andernfalls 
die Orientierungswirkung der Grundrechte auf Seiten des Grundrechtssubjekts lei- 
det.”2* Grundrechte als Bestandteile der Verfassung sind „kein Juristenrecht“.2? 
Darüber hinaus bliebe kein Raum mehr für die Auffangwirkung des Art. 2 Abs. 1 
GG, da dieser durch die Weite der anderen Grundrechte an Bedeutung verlöre.”?6 
Insofern steht sich im Ergebnis jeweils die Herabsetzung des Schutzniveaus der 
Grundrechte gegenüber, sei es durch eine Auflösung mangels Grenzen oder eine 


Verkürzung der Schutzbereiche ohne Würdigung der Lebenswirklichkeit. 


Letztlich kann sich daher keiner der beiden Ansichten angeschlossen werden, 
sondern es ist eine Art Mittelweg zu wählen. Beide Auslegungstheorien enthalten 
Grundsätze, die bei der Bestimmung des Schutzbereiches berücksichtigt werden 
sollten: Aus der weiten Tatbestandstheorie kann die dynamische Auslegungswei- 
se der Schutzgüter und eine damit einhergehende (notwendige) Anpassung des 
Schutzbereichs geschlossen werden. Diese ist jedoch mit im Sinne der engen Tat- 
bestandslehre mit den herkömmlichen und angemessenen Auslegungsmethoden 
— auch der historischen Auslegung — zu konterkarieren. Dafür spricht auch, dass 


>27 


der Wortlaut des Grundgesetzes selbst Grenzen aufzeig nicht zuletzt durch die 


321 Exemplarisch hierzu das Sondervotum von Grimm in BVerfGE 80, 137 (164), welcher sich auf 
die historischen Wurzeln des Art. 2 Abs. 1 GG besinnt und die Eröffnung des Schutzbereiches 
für das Reiten im Walde ablehnt. Allgemein zur Herangehensweise Schröder, JA 2016, 641 
(645). 

322  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 88. 

323 Merten in: Merten/Papier, HGr MI, $ 56, Rn. 59; Peine in: Merten/Papier, HGr III, $ 57, Rn. 
32; Alexy, Theorie der Grundrechte, S. 502; Berhge, VVDStRL 57 (1998), 7 (38). 

324 Merten in: Merten/Papier, HGr MI, $ 56, Rn. 68; Böckenförde, Der Staat 29 (1990), 1 (28). 

325  Bethge, Der Staat 24 (1985), 351 (358). 

326 Vgl. Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 93; Murswiek, Der Staat 45 (2006), 473 
(484 ff). 

327  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 92. 
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Schranken und deren Konnexität bzgl. des Schutzbereiches®®. Eine solche Vorge- 
hensweise lässt sich ebenso aus dem „Gebot sachgemäßer und funktionsgerechter 
Auslegung“ ableiten.??? Die schrittweise Herausarbeitung und Annäherung von 
Rechtsprechung und Literatur — unter Rücksichtnahme anderer Gewalten und 


Beachtung der eigenen Grenzen??? 


— an die sich stetig ändernden Grenzen des 
Schutzbereiches führt so zu einem spezifischen Profil der Grundrechtstatbestän- 
de, die sich durch einzelne Charakteristika kennzeichnen. Als Beispiele dafür 
können etwa die dem öffentlichen Meinungsbildungsprozess dienende Freiheit 
des Art. 5 Abs. 1 S. 2 Alt. 2 GG°?!, die Erweiterung des Allgemeinen Persön- 
lichkeitsrechts um technische Aspekte durch das Grundrecht auf Gewährleistung 
und Integrität informationstechnischer Systeme??? und die räumliche Reichweite 
des Wohnungsbegriffs in Art. 13 Abs. 1 GG? angeführt werden. Nur auf diese 


Weise können durch die Verfassung einzelne Qualitäten der Persönlichkeit des 


Grundrechtsträgers®”* effektiv und angemessen geschützt werden. 
2. Abwehrrechtliche Dimensionen der digitalen 
Identität 


Die Qualitäten der Persönlichkeit bildet sich allerdings nicht nur bei Tätigkeiten 
in der analogen Welt ab, sondern zunehmend auch in der digitalen Welt. Während 
sich analoges Verhalten durch die konkretisierten Grundrechtsprofile eines ange- 
messenen Schutzes versieht, so mangelt es aufgrund der schnellen Entwicklung 
der Informationstechnik an trennscharfen oder dynamischen Begriffsdefinitionen 
sowie einer entsprechenden Regulierung. Exemplarisch kann hier die Begriffspro- 
blematik um die Subsumtion von presseähnlichen Telemedien unter den Begriff 


328 Hierzu Merten in: Merten/Papier, HGr IH, $ 56, Rn. 19, 22. 

329 Merten in: Merten/Papier, HGr II, $ 56, Rn. 80 unter Verweis auf BVerfGE 36, 193 (209). 

330 Andernfalls könnte es zu einem Jurisdiktionsstaat kommen, welcher It. Art. 1 Abs. 3, 20 Abs. 2 
GG in der Verfassung nicht vorgesehen ist — vgl. Böckenförde, Der Staat 29 (1990), 1 (29 f). 

331 BVerfGE 87, 181 (197); 95, 220 (236). 

332 BVerfGE 120, 274 (320 ff). 

333 BVerfGE 17, 232 (251 f); 31, 255 (268 ff); 32, 54 (68 ff); 42, 212 (219 ff); 44, 353 (371 f). 

334 Vgl. Jellinek, System der subjektiv öffentlichen Rechte, S. 102. 
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des Rundfunks oder der Presse nach Art. 5 Abs. 1 S. 2 GG erwähnt werden, welche 
bis dato mangels verfassungsgerichtlicher Rechtsprechung oder einer angedachten 
Verfassungsänderung ungelöst ist.’ 


Zukünftige, aktuell unbekannte Entwicklungen müssen im Vergleich zu bisherigen 
grundrechtlich geschützten Handlungen jedoch ebenfalls noch grundrechtlichem 
Schutz unterliegen, insbesondere in ihrer abwehrrechtlichen Dimension. Dies ge- 
bietet sich vor dem Hintergrund, dass nahezu jede technische Neuheit mit der 
Eigenschaft der Internetverbindung und Cloud-Synchronisation ausgestattet ist. 
Nicht nur der Computer als Heimgerät, sondern auch mobile Endgeräte und die 
Neuheiten auf dem Gebiet des Internet of Things (dt. Internet der Dinge) - z.B. 
smarte Kühlschränke oder digitale Assistenten — oder maschinellen Lernens füh- 
ren geradewegs dazu, dass das Internet kaum wegzudenken ist aus dem Alltag des 
Menschen.??6 Dementsprechend bedarf es einer Erweiterung der Schutzbereiche, 
welche sich an der Lebenswirklichkeit orientieren und daher „mit der Zeit ge- 
hen“ sollen und müssen. Anhaltspunkte für einen solchen Wandel weist schon die 
Rechtsprechung des Bundesverfassungsgerichts auf, welche hinsichtlich der Ein- 
griffe im Internet?” den Schwerpunkt in der Privatsphäre bzw. dem Kernbereich 
privater Lebensgestaltung gelegt hat.” Diese Grundsätze finden sich auch in der 
Rechtsprechung des Europäischen Gerichtshofes wieder.”?” Und auch in niedri- 
geren Instanzen sind wiederholt Fälle zu entscheiden, die einen Internet-Bezug 


335 Hierzu ausführlich Kühling in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 5 GG, Rn. 73-77 
sowie Starck/Paulus in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 5 I, Rn. 249 
ff. 

336 Vgl. BGH, Urt. vom 24.01.2013 - Az. IN ZR 98/12 = NJW 2013, 1072. 

337 Erwähnt seien an dieser Stelle auch die möglichen Eingriffe auf den Zugang zum Internet, die 
das Abwehrrecht umfasst, aber nicht Gegenstand dieser Arbeit sind. Hierzu Hoffmann et al., Die 
digitale Dimension der Grundrechte, S. 24, 100 f. 

338 Siehe nur BVerfGE 120, 274 (302 f); 130, 1 (21). 

339 Siehe nur EuGH, Urteil vom 06.10.2015, Az. C-203/15, C-698/15 = NJW 2017, 717, Rn. 99. 
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aufweisen.”* Gleichwohl nicht jede der erwähnten oder zukünftigen Entschei- 
dungen die Schutzbereiche angemessen und zutreffend auszulegen vermag, so 
lässt sich diesem Prozess doch eine schrittweise Schärfung des Profils der jeweili- 
gen Grundrechte entnehmen. Mithin lässt sich vor dem erläuterten dogmatischen 
Hintergrund herausstellen, dass die Schutzbereiche der Art. 1-19 GG gemeinhin 
abstrakte Merkmale aufweisen, welche sich zu einer digitalen Variante anpassen 
oder transformieren ließen. Hierbei sind die einzelnen Schritte und Auslegungs- 
mittel nicht hinderlich, sondern eher förderlich. 


Des Weiteren ist sich auch der Betrachtung des Eingriffes in seiner Funktion als 


341 zu widmen. Denn auch dieser 


Scharnier zwischen Schutzbereich und Schranke 
bedarf einer Präzisierung in Bezug auf die digitale Identität und Digitalisierung 
der Lebenssachverhalte. In seiner klassischen Funktion vermag der Eingriff als 
solcher bei Eingriffen im Internet zu straucheln, würde ein staatlicher Überwa- 
chungsakt wohl nur schwerlich als Rechtsakt zu qualifizieren sein.” Daher bedarf 
es zumindest in den digitalen Dimensionen der Grundrechte einer Erweiterung des 
Eingriffsbegriffes und somit eines Fokus auf die Verkürzung der Grundrechtssub- 
stanz, die einer verfassungsrechtlichen Rechtfertigung erfordert.” Widrigenfalls 
ließen sich Eingriffe in den Kernbereich der privater Lebensgestaltung” und die 
digitale Selbstbestimmung nicht angemessen abwehren und der grundrechtliche 
Schutz löste sich zunehmend auf. Hinsichtlich der Eingriffe auf privater Ebene 


340 Exemplarisch nur LG Berlin, Urteil vom 17.12.2015 - Az. 20 O 172/15 - sowie die Berufung 
vor dem KG Berlin, Urteil vom 31.5.2017 — Az. 21 U 9/16 —, nunmehr entschieden in BGH, 
Urteil vom 12.7.2018 — Az. IT ZR 183/17. Des Weiteren sei auch der Beschluss zur Vorratsda- 
tenspeicherung des LG Köln vom 30.6.2017 - Az. 9 L 2085/17 — sowie jener des OVG Münster 
vom 22.06.2017 — Az. 13 B 238/17 — zu erwähnen. 

341 So Peine in: Merten/Papier, HGr III, $ 57, Rn. 14. 

342 Vielmehr könne darin ein faktisches Handeln gesehen werden - vgl. auf die faktischen Elemente 
der Erhebung und Speicherung abstellend BVerfGE 120, 274 (309 f, 322 f) und 125, 260 (300); 
Hufen, Staatsrecht II, $ 8, Rn. 10-11. 

343 BVerfGE 105, 252 (256 f, 273); 105, 279 (303 f); 113, 63 (76 f). Sich der Erweiterung des 
Eingriffsbegriffs ebenfalls anschließend Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 
III GG, Rn. 39; Kloepfer, VerfR II, $ 51, Rn. 26 ff; vgl. Kingreen/Poscher, Staatsrecht II, Rn. 
294 ff sowie Peine in: Merten/Papier, HGr III, $ 57, Rn. 31. Ausführlich zu Problemen des 
erweiterten Eingriffsbegriffs siehe Peine in: Merten/Papier, HGr III, $ 57, Rn. 33 ff. 

344 BVerfGE 120, 274 (335 f); 125, 260 (288). 
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stellt sich die Lage problematischer dar: Beeinträchtigungen zwischen Privaten 
im digitalen Raum sind zwar grundrechtlich relevant, häufig aber kaum verfolg- 
bar. Dies ergibt sich zum einen aus der Diskrepanz zwischen dem räumlichen 
Geltungsbereich der Grundrechte und dem Internet als globales Rechnernetz.°* 
Zum anderen lassen sich auf technischem Weg Identifikationsmerkmale, welche 
einen Rückschluss auf den Beeinträchtigenden zulassen, verschleiern (Stichwort: 
Virtual Private Network**° und TOR-Browser’*’) und so ebenfalls die Verfolg- 
barkeit von Rechtsverletzungen für fragwürdig erachten. Darüber hinaus stellt es 
eine bislang ungelöste Aufgabe dar, nicht nur die Beeinträchtigenden zu ermit- 
teln, sondern die Plattformen im Einklang mit den Grundrechten angemessen 
zu regulieren und auf diesem Weg die Qualität und Quantität von Eingriffen im 
digitalen Raum zu mindern. Beispielgebend ist hier die Problematik um das Netz- 
werkdurchsetzungsgesetz erwähnt, welche den Gesetzgeber auch nach seinem 
Inkrafttreten formell und materiell vor Denkaufgaben stellte.”*® Die abwehrrecht- 
liche Funktion sieht sich daher durch faktische Grenzen gehindert und erscheint 
vor dem aufgezeigten Hintergrund kaum wirksam. Dem Abwehrrecht auf dieser 
Ebene wieder entsprechende Wirkung zu verleihen ist allerdings, vor allem unter 


345 Vgl. Hoffmannetal., Die digitale Dimension der Grundrechte, S. 17 f, Herold/Lurz/ 
Wohlrab, Grundlagen der Informatik, S. 453 ff. 

346 Schmidl, IT-Recht von A-Z, Begriff: Virtual Private Network: „Ein Virtual Private Network 
(Abk. VPN) ist eine durch Software geschaffene, meist verschlüsselte Verbindung zwischen 
zwei räumlich getrennten Geräten über ein öffentliches Netz wie das Internet.“ Siehe auch 
Petrlic/Sorge, Datenschutz, S. 24 f. 

347  Schmidl, IT-Recht von A-Z, Begriff: TOR-Verfahren: „Das TOR-Verfahren (Abk. für The- 
Onion-Router) ist ein Anonymisierungsverfahren; normalerweise enthält das Abrufen von Da- 
ten auf einem Server die Adresse (IP-Nummer) des Absenders. [...] Durch Zwischenschalten 
weiterer Computer als proxy-server, die es zulassen, dass der Client anonym kommuniziert, ist 
der Server [...] nicht in der Lage, den Adressaten anhand der IP-Adresse zu ermitteln [...].“ 

348 Zumindest wurde das NetzDG in der Literatur hinsichtlich beider Aspekte kritisch betrachtet 
und entsprechende Mängel hervorgehoben. Mit Schwerpunkt auf der formellen Verfassungswid- 
rigkeit allen voran Gersdorf, MMR 2017, 439 (440 ff) sowie aufgreifend Müller-Franken, AfP 
2018, 1 (3 f); Feldmann, K&R 2017, 292 (294); Kalscheuer/Hornung, NVwZ 2017, 1721 
(1724 f). Materielle Aspekte vertiefend dagegen ebenfalls Müller-Franken, AfP 2018, 1 (5 ff); 
Feldmann, K&R 2017, 292 (295 f), Kalscheuer/Hornung, NVwZ 2017, 1721 (1722 f) sowie 
Heckmann/Wimmers, CR 2017, 310; Nolte, ZUM 2017, 552 (554 ff); Liesching, ZUM 2017, 
809; Peifer, CR 2017, 809. Den zivilrechtlichen Aspekten nähert sich Peifer, AfP 2018, 14. 
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Einbeziehung der anderen Grundrechtsfunktionen, Aufgabe des Gesetzgebers und 
der (verfassungsgerichtlichen) Rechtsprechung. 


In der Gesamtschau ist damit ersichtlich, dass die abwehrrechtliche Dimension 
der digitalen Identität fortbesteht und der abstrakte Wortlaut der Grundrechte eine 
Anpassung bzw. Einbeziehung der digitalen Sachverhalte nicht hindert, sondern 
vielmehr zulässt. Daher ist auch von einem gleichbleibenden Schutzniveau der 
Grundrechte als Abwehrrechte gegenüber dem Staat auszugehen. Bezüglich der 
Eingriffe im Rahmen der mittelbaren Drittwirkung hat der Gesetzgeber allerdings 
sowohl entsprechenden Spielraum als auch die Verpflichtung, den Grundrechts- 


träger vor etwaigen Beeinträchtigungen im digitalen Raum zu schützen.” 


Il. Der status positivus der Grundrechte 


Wird das feste, verlässliche Terrain des Abwehrrechts verlassen und die Erschlie- 
Bung neuen Terrains angestrebt? — ohne sich von der Prädominanz der ab- 


351 _ ist sich des Weiteren der diametralen 


wehrrechtlichen Funktion zu trennen 
Funktion des status negativus zuzuwenden. Der status positivus, welcher neben 
den status negativus tritt und daher auf gleicher Ebene anzusiedeln ist,’”” verbirgt 
sich dogmatisch in den Funktionen der Grundrechte als Leistungs-, Verfahrens- 
und Teilhaberechte. Den Grundrechten soll demnach eine positive Komponente 
entnommen werden, die dem Grundrechtsträger gegebenenfalls einen Anspruch 
auf staatliches Handeln (dann: originäres Leistungsrecht) oder zumindest auf 
Teilhabe an den Einrichtungen des Staates (dann: derivatives Leistungsrecht) er- 


möglicht.?" Hiervon abzugrenzen ist jedoch die Teilhabe an der Ausübung der 


349 Hierzu insbesondere Kapitel C.M. 

350 Vgl. Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 17. 

351 Sachs in: Merten/Papier, HGr II, $ 39, Rn. 11. 

352  Kloepfer, VerfR II, $ 48, Rn. 19. 

353 Zur Kategorisierung siehe grundlegend Martens, VVDStRL 30 (1972), 7 (21 ff) sowie 
Stern, StaatsR IN/1, S. 697 f, 700; Kloepfer, VerfR II, $ 48, Rn. 22; Murswiek in: Isensee/ 
Kirchhof, HStR IX, $ 192, Rn. 12. 
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Gewalt des Staates iSv Art. 20 Abs. 2 S. 1 GG. Eine derartige Teilhabe ist dem 


bereits erwähnten status activus zuzuordnen.>* 


Originäre Leistungsrechte spiegeln dabei den Kern des status positivus wider. 
Denn um ein solches handelt es sich, wenn sich aus der Verfassung ein unmittel- 
barer Anspruch zu staatlichem Handeln herauslesen lässt.’°° Schon der Wortlaut 
muss also den Grundrechtsträger als Anspruchsteller erkennen lassen. Dies ist 
allerdings nur in Art. 6 Abs. 4 und Abs. 5 sowie 19 Abs. 4 und den dazuge- 
hörigen Flankierungen in Art. 101 Abs. 1 S. 2, 103 Abs. 1 GG niedergelegt,” 
ferner aus dem Sozialstaatsprinzip nur in Verbindung mit anderen Gütern abgelei- 
tet?5®.59 Einen Anspruch auf eine Handlung des Staates expressis verbis, gleich 
ob sozialer oder anderer Natur, gibt es damit nicht. Ebenso ist diese Lücke nicht 
durch Auslegung von Freiheitsrechten zu füllen, da dies dem mit der Fassung des 
Grundgesetzes zum Ausdruck gebrachten Willen, keine Ansprüche auf staatliche 
Zuwendungen einzufügen, widerspräche.°° Darum wird ein originäres Leistungs- 
recht auch in Zukunft nicht in der Verfassung zu finden sein.°! Vielmehr wird 


354 Nach Häberle, VVDStRL 30 (1972), 43 (81 f) sei der status positivus allerdings als Kon- 
sequenz des status activus anzusehen. Dem kann insoweit zugestimmt werden, als dass die 
politische Partizipation des Grundrechtsträgers (äußerst) mittelbar durch die Abgeordneten als 
Repräsentanten des Volkes gem. Art. 20 Abs. 2 S. 1 GG ausgeübt wird, welche letztlich in 
teilhabegewährenden Einrichtungen und dem Erhalt staatlicher Institutionen aufgeht. Aufgrund 
der Nähe dieser beiden Begriffe wird, basierend auf der Differenzierung Alexys zwischen dem 
status positivus im engeren und im weiteren Sinne°°>, der status activus ebenfalls zu als Teil 
des status positivus angesehen — so beispielsweise Murswiek in: Isensee/Kirchhof, HStR IX, $ 
192, Rn. 13. 

356 Rüfner in: Merten/Papier, HGr II, $ 40, Rn. 1; Kloepfer, VerfR II, $ 48, Rn. 23 sowie ausführlich 
Martens, VVDStRL 30 (1972), 7 (25 ff). 

357 Weitere nennend statt vieler Stern, StaatsR IIV1, S. 706 f. 

358 So BVerfGE 82, 60 (85); 125, 175 (222 f); 132, 134 (159 f); Urteil vom 5.11.2019, Az. 
1 BvL 7/16, Rn. 119 sowie vgl. auch E 1, 97 (104 f). Zum Anspruch auf Sicherung des 
Existenzminimums siehe auch Breuer in: Bachof/Heigl/Redeker, Festgabe BVerwG, 89 (95 ff). 

359 Vgl. auch Kingreen/Poscher, Staatsrecht II, Rn. 157; Dreier in: Dreier, GG, Vorb. Rn. 89. 

360 BVerfGE 87, 181 (197); 1, 97 (104); Müller-Franken in: Schmidt-Bleibtreu/Hofmann/ 
Henneke, GG-Kommentar, Vorb. v. Art. 1, Rn. 18. 

361 Ebenfalls dieser Ansicht Osterloh/Nußberger in: Sachs, GG, Art. 3, Rn. 55 f, Dreier in: 
Dreier, GG, Vorb. v. Art. 1, Rn. 90; Stern, StaatsR IN/1, S. 694,; Hufen, Staatsrecht II, $ 5, Rn. 
10. 
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dieses aus den bestehenden Rechtsgütern herausgelesen, bei sozialen Aspekten 
insbesondere iVm dem Sozialstaatsprinzip des Art. 20 Abs. 1 GG. 


Indes werden aus der Verfassung derivative Leistungsrechte abgeleitet. Unter die- 
sem Begriff sind, wie erwähnt, all jene Ansprüche zu fassen, die eine Teilhabe an 
bereits vorhandenen Einrichtungen des Staates bzw. Förderungen der Ausübungen 
der Freiheitsrechte gewähren. Die Herleitung bestimmt sich daher grundsätzlich 
nicht aus dem die jeweilige Grundrechtsausübung betreffenden Freiheitsrecht, 
sondern aus dem allgemeinen Gleichheitssatz des Art. 3 Abs. 1 GG.?° Maßge- 
bend kann hier der Anspruch auf Teilhabe an einer staatlich geförderten Ausbil- 
dungsstätte erwähnt werden, wonach die Zugangsbeschränkung mittels Numerus 
Clausus auf ein angemessenes Maß beschränkt wurde und dem Grundgesetz nur 
ein Leistungsanspruch „unter dem Vorbehalt des Möglichen“ entnommen wer- 
den kann.’ Weiterhin wurde durch weitere Gerichtsentscheidungen der Zugang 
zu öffentlichen Einrichtungen wie Stadthallen zum Zwecke parteipolitischer Ver- 
anstaltungen?‘*, die Teilhabe am öffentlich-rechtlichen Rundfunk?” sowie die 
Beteiligung an Subventionen kraft Selbstbindung der Verwaltung‘® gefestigt und 
aus den Freiheitsrechten iVm Art. 3 Abs. 1 GG herausgelesen. Diese Transfor- 
mation des Freiheitsrechts von seiner abwehrrechtlichen Natur zum derivativen 
Leistungsrecht geschieht infolge der Wandlung der Position des Grundrechts- 
trägers zum Staat: Je stärker sich die Haltung von einer Abwehrhaltung hin zu 


362 Dreier in: Dreier, GG, Vorb. vor Art. 1, Rn. 93; Kischel in: Epping/Hillgruber, BeckOK GG, 
Art. 3, Rn. 88; Murswiek in: Isensee/Kirchhof, HStR IX, $ 192, Rn. 74 f; Kirchhof in: Isensee/ 
Kirchhof, HStR VII, $ 181, Rn. 72; Kloepfer, VerfR II, $ 48, Rn. 2; Martens, VVDStRL 30 
(1972), 7 (21). Zum Begriff der Teilhabe ferner Murswiek in: Isensee/Kirchhof, HStR IX, $ 
192, Rn. 5 ff, Kingreen/Poscher, Staatsrecht II, Rn. 155. 

363 BVerfGE 33, 303 (329 f, 333); 43, 291 (313 f). Ferner Murswiek in: Isensee/Kirchhof, HStR IX, 
$ 192, Rn. 85; Dreier in: Dreier, GG, Vorb. Rn. 90; Breuer in: Bachof/Heigl/Redeker, Festgabe 
BVerwG, 89 (114 ff); Hufen, Staatsrecht II, $ 5, Rn. 10; Kloepfer, VerfR II, $ 48, Rn. 26. Dies 
wurde hinsichtlich des Numerus Clausus im Fachbereich Medizin bestätigt - BVerfG NVwZ 
2018, 233 (Rn. 103 f); Brehm/Brehm-Kaiser, NVwZ 2018, 543. 

364 Zuletzt BVerfG, Beschluss vom 26.3.2018 — Az. 1 BvQ 18/18 — sowie BVerwG, Urt. vom 
21.07.1989 — Az. 7 B 184/88 = NJW 1990, 134; Urt. vom 27.08.1991 — Az. 7 B 19/91 =NVwZ 
1992, 263. 

365 Sog. Grundversorgung — siehe BVerfGE 73, 118 (157 f); 74, 297 (325 f); 83, 238 (297 f). 

366 BVerwGE 14, 307 (310); 15, 190 (196); BVerwG, Urt. v. 28.04.1978 - Az. VII C 43.76 = NJW 
1979, 280. 
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einem Begehr entwickelt, welches sich an Institutionen des modernen Staates rich- 
tet, desto mehr wandelt sich die Funktion in Richtung Leistungsrecht.”°’ In der 
Konsequenz entsteht jedoch eine Abhängigkeit von den Leistungen des Staates, 
sodass die Grenze zwischen Leistungsentzug und Eingriff mit zunehmender Ab- 
hängigkeit verschwimmt.°°® Das jeweilige Leistungsrecht ist jedoch nur bezüglich 
staatlicher Institutionen durchsetzbar, daher eher als Chance auf Leistungsteilhabe 
zu sehen und folglich nicht gegenüber dem Gesetzgeber unmittelbar geltend’. 
Ein Einwirken auf Private bzw. Dritte zur Gewährleistung einer gleichberechtigten 
Teilhabe kann nicht über den status positivus der Grundrechte erlangt werden.?”® 


Indes ist auf die Rechtsfigur der Schutzpflicht zurückzugreifen.?”! 


Abschließend ist vor dem ausgeführten begrifflichen Hintergrund auch der status 
positivus zur digitalen Identität ins Verhältnis zu setzen. Da der status positi- 
vus die aktive Grundrechtsausübung umfasst, ist insoweit von Seiten des Staates 
die entsprechende Möglichkeit der Nutzung digitaler Identitäten zu gewährleis- 
ten. Dies meint jedoch mitnichten, dass der Staat das bloße Vorhandensein von 
Plattformen im Sinne eines eines Identitätsmanagementsystems sicherstellen oder 
gar expressis verbis garantieren muss, um in letzterem Falle auf ein originäres 
Leistungsrecht zurückzugreifen. Es muss keine Möglichkeit der Ausgestaltung 
eines digitalen Alter Egos vorgehalten werden, um diese hoheitliche Aufgabe zu 
erfüllen. Ebenfalls ist kein Recht bzw. Anspruch auf Teilhabe an einer öffent- 
lich-rechtlichen Plattform ersichtlich, da es prima facie schon an entsprechenden 
(digitalen) Institutionen mangelt. Dies erfordert jedoch nicht, dass zu diesem 
Zweck neue Institutionen geschaffen werden müssen. Die Errichtung eines „staat- 
lichen Facebook“ scheint schon unmöglich, wo sich ein derartiges Mittel der 


367 Vgl. Kirchhof in: Maunz/Dürig, GG-Kommentar, Art. 3 I, Rn. 293. 

368 Hufen, Staatsrecht II, $ 5, Rn. 10. 

369 So Kischel in: Epping/Hillgruber, BeckOK GG, Art. 3, Rn. 89; Murswiek in: Isensee/ 
Kirchhof, HStR IX, $ 192, Rn. 74 

370 So auch Sachs in: Sachs, GG, Vor Art. 1, Rn. 48; Müller-Franken in: Schmidt-Bleibtreu/ 
Hofmann/Henneke, GG-Kommentar, Vorb. v. Art. 1, Rn. 18 aE. Vgl. auch Stern, StaatsR IIV1, 
8.732 f. 

371 Stern, StaatsR IIV1, S. 728 f. 
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Massenkommunikation ebenfalls nicht nur als Medium, sondern auch als Fak- 
tor der öffentlichen Meinungsbildung herauskristallisieren kann. Eine Tendenz 
bzw. Steuerung von Seiten des Staates ist aufgrund der Verantwortlichkeit für die 
Programmierung der Plattform nicht vollständig auszuschließen. Dies widerstrebt 
jedoch der Staatsfreiheit der Medien der Massenkommunikation?’?, insbesondere 
wenn Art. 5 Abs. 1 S. 2 GG als Mediengrundrecht verstanden wird’”’. Viel- 
mehr könnte eine Gewährleistung darin bestehen, einen Anspruch auf Zugang 
zum Dienst zu erhalten. Dies lässt sich jedenfalls aus der Linie des Bundesver- 
fassungsgerichts folgern, die sich hinsichtlich der mittelbaren Drittwirkung des 
Art. 3 Abs. 1 GG zwischen Privaten abzeichnet.?’* Richtet man den Blick auf 
die Online-Plattformen der öffentlich-rechtlichen Rundfunkanbieter und mögli- 
che Verknüpfungen von Mediatheken und presseähnlichen Angeboten mit einer 
Kommentarfunktion oder andersartigen Informationsportalen öffentlicher Ein- 
richtungen, so ergebe sich an dieser Stelle durchaus ein Anspruch auf Teilhabe 
am Diskurs im Rahmen der Kommentarspalte oder ähnlicher Möglichkeiten der 
Meinungskundgabe.?” Diesem werden Anbieter von solchen Plattformen aber 
regelmäßig gerecht. Die nachträgliche Begrenzung dieser Teilhabe, beispielswei- 
se aufgrund von unzulässiger Schmähkritik oder anderweitigen widerrechtlichen 
Verhaltens, bleibt hiervon unberührt. Derartige Sanktionen dürfen sich aber kei- 
nesfalls auf den generellen Zugang zum Informationsangebot auswirken, da dies 
ferner zu einer Beeinträchtigung der Informationsfreiheit des Art. 5 Abs. 1 Alt. 2 
GG oder dem Recht auf Teilhabe an öffentlichen Einrichtungen aus Art. 5 Abs. 1 
S. 1,3 Abs. 1 GG führen würde.’® Die digitale Identität bleibt daher zumindest 
inhaltlich nur in wenigen Fällen vom status positivus umfasst. 


372 Vgl. BVerfGE 12, 205 (260 f). 

373  Soals „Antwort“ auf die Digitalisierung der Massenmedien Kühling in: Gersdorf/Paal, BeckOK 
InfoMedienR, Art. 5 GG, Rn. 11, 3 ff. 

374 BVerfGE 148, 267 (283 f) sowie bezugnehmend Einweilige Anordnung vom 22.5.2019 — Az. 
1 BvQ 42/19 —, Rn. 15; Nichtannahmebeschluss vom 27.8.2019 — Az. 1 BvR 879/12, Rn. 5 ff. 

375 Vgl. BVerfGE 148, 267 (Rn. 41); Einstweilige Anordnung vom 22-05-2019 — 1 BvQ 42/19 
—, Rn. 15; Hoffmannetal., Die digitale Dimension der Grundrechte, S. 137. Eine ähnliche 
Konstellation aufspannend Schmehl/Richter, JuS 2005, 817 (insbes. 818 f). 

376 Zum digitalen Hausrecht von Behörden im Detail Kalscheuer/Jacobsen, NJW 2018, 2358 (2359 
M. 
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Von der Frage nach der inhaltlichen Einordnung der digitalen Identität ist dagegen 
die Frage des Zugangsmittels zur digitalen Identität zu trennen. Schon denklo- 
gisch bedarf es einer funktionierenden und gewährleisteten Infrastruktur, über 
die die Angebote der Plattformen bzw. Telemedien abgerufen werden können. 
Angesichts der Digitalisierung sowie der Teilhabe am gesellschaftlichen Diskurs 
und Willensbildungsprozess ist es erforderlich, dass der Staat diese Möglichkeit 
der Grundrechtsausübung — also die Nutzung des Internets als Informations- und 
Kommunikationsmedium — jedem Bürger ermöglicht.’ Andernfalls ließe sich 
die Förderung neuer Entwicklungen und die Einbeziehung aller Bundesbürger 
in die Digitalisierung aller Prozesse, z.B. die elektronische Steuererklärung nach 
dem ELSTER-Verfahren, Meldungen und Terminvereinbarungen bei örtlichen Be- 
hörden oder weitere kommunale Angebote, nicht aufrechterhalten. Bürger ohne 
diese Möglichkeiten verlieren den Anschluss an die Gesellschaft, sind gewisser- 
maßen „locked out“. Zu beachten ist daher, dass von Seiten des Gesetzgebers 
sowohl die generelle Nutzungsmöglichkeit des Internets — also der Anschluss an 
sich — als auch die entsprechende Bandbreite gewährleistet wird, um sowohl ge- 
genwärtige als auch zukünftige Angebote problemlos nutzen zu können. Dies lässt 
sich zumindest aus Art. 87f Abs. 1 GG, auch unter Einbeziehung der Idee der 
Grundversorgung iVm dem Sozialstaatsprinzip des Art. 20 Abs. 1 GG, schlussfol- 
gern.’ So fasste der BGH im Falle des Ausfalls des Internetzugangs zusammen: 
„Die Nutzbarkeit des Internet ist ein Wirtschaftsgut, dessen ständige Verfügbar- 
keit seit längerer [...] Zeit auch im privaten Bereich für die eigenwirtschaftliche 
Lebenshaltung typischerweise von zentraler Bedeutung ist und bei dem sich eine 
Funktionsstörung als solche auf die materiale Grundlage der Lebenshaltung si- 
gnifikant auswirkt. [...] Damit hat sich das Internet zu einem die Lebensgestaltung 


377 Als Bestandteil des Existenzminimums diskutierend Hoffmann etal., Die digitale Dimension 
der Grundrechte, S. 101 ff. 

378 Zur Reichweite des Gewährleistungsauftrages des Art. 87f Abs. 1 GG im Einzelnen siehe 
Gersdorf in: von Mangoldt/Klein/Starck, GG-Kommentar, Band III, Art. 87f, Rn. 20, 23 f, 
30 f, Möstl in: Maunz/Dürig, GG-Kommentar, Art. 87f, Rn. 71, 72; Holznagel/Beine, MMR 
2015, 567 (568/569); Schumacher, MMR 2011, (712/713). Der Gewährleistungsauftrag ist 
jedoch kein (originäres oder derivates) Leistungsrecht des Bürgers, sondern ausschließlich 
als Staatsziel iSe verfassungsrechtlichen Wertentscheidung zu verstehen — Gersdorf in: von 
Mangoldt/Klein/Starck, GG-Kommentar, Band III, Art. 87f, Rn. 30 aE. 


89 


C. Verfassungsrechtliche Schutzkonzepte 


eines Großteils der Bevölkerung entscheidend mitprägenden Medium entwickelt, 
dessen Ausfall sich signifikant im Alltag bemerkbar macht.” In der Wahl der 
Mittel ist der Gesetzgeber aber, wie generell zur Erfüllung der Leistungsrechte, 


frei und hat einen weiten Ermessensspielraum.°®" 


Il. Die Schutzpflichten des Staates: Eine 
eigene Kategorie? 


Die inhaltliche Komponente der digitalen Identität und der Schutz ebendieser 
ist demzufolge nicht vollständig in die traditionellen Begriffe nach Jellinek ein- 
zuordnen. Vielmehr ergibt sich diese aus der Wirkung der Grundrechtsgehalte 
insgesamt, also sowohl den subjektiv-rechtlichen Gehalten als auch der objek- 
tiv-rechtlichen Dimension der Grundrechte. Im Folgenden soll daher über den 
dogmatischen Hintergrund der Schutzpflichten die Relevanz der Schutzpflicht im 
Allgemeinen für die digitale Identität dargelegt werden. 


379 BGH, Urt. vom 24.01.2013 — Az. IT ZR 98/12 = NJW 2013, 1072. 

380 Vgl. zur Gewährleistungsaufgabe des Bundes im Bereich der Telekommunikation gem. Art. 87f 
Abs. 1 GG Gersdorf in: von Mangoldt/Klein/Starck, GG-Kommentar, Band IH, Art. 87f, Rn. 31 
f, Möstl in: Maunz/Dürig, GG-Kommentar, Art. 87f, Rn. 76 f sowie im Allgemeinen Rüfner in: 
Merten/Papier, HGr II, $ 40, Rn. 38; vgl. auch Murswiek in: Isensee/Kirchhof, HStR IX, $ 192, 
Rn. 74 aE. 
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1. 


Der dogmatische Hintergrund der Schutzpflicht 


Während sich der verfassungsrechtliche Begriff der Grundpflicht mit dem Gegen- 
stück der Grundrechte befasst,’®' bezieht sich der Begriff der Schutzpflicht auf 
eine Verpflichtung des Staates auf Schutz des Grundrechtsträgers. Es ist Aufga- 


be des Staates schützend und fördernd einer Aushöhlung der Freiheitsgarantien 


vorzubeugen.°®? Gelegentlich wird jedoch zwischen der echten und unechten 


381 


382 


Als Grundpflicht wird die verfassungsrechtlich verankerter Pflicht des Einzelnen gegenüber 
dem Staat bezeichnet, nicht jedoch Pflichten der Staatsorgane untereinander. In der Verfassung 
finden sich diese unter anderem in Art. 6 Abs. 2 (Erziehungspflicht/Elternverantwortung) und 
26 Abs. 1 GG (Friedenspflicht) sowie der ehemaligen Wehrpflicht. Der Begriff geht auf die 
Verpflichtungen und Terminologie aus der WRV zurück, insbes. Art. 132 bis 134, 109 Abs. 2, 
110 Abs. 2, 120, 145, 153 Abs. 3, 155 Abs. 3, 163 WRV. Hierzu ausführlich Stober, Grund- 
pflichten und Grundgesetz, S. 12 f sowie Stern, StaatsR IIV/2, S. 985 ff, Ranzelhofer in: Merten/ 
Papier, HGr II, $ 37, 17 ff; Stern, Der Staat des Grundgesetzes, S. 293 ff, Hufen, Staatsrecht 
II, $ 5, Rn. 24; Gusy, JZ 1982, 657 (insbes. 658 ff); Isensee, DÖV 1982, 609; Stober, NVwZ 
1982, 473 (insbes. 476 ff); Badura, DVBl 1982, 861. 

So stRspr BVerfGE 35, 79 (114) sowie 39, 1 (42). Vgl. auch BVerfGE 33, 303 (339 f); 43, 242 
(267); 47, 327 (369 f). 
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Schutzpflicht differenziert.’®® So handelt es es sich um eine unechte (grundrecht- 
liche) Schutzpflicht, wenn diese ohnehin Aufgabe des Staates ist und dazu dient, 


die Dreieckskonstellation?®* 


iSd mittelbaren Drittwirkung aufzulösen bzw. den 
Grundrechten des Opfers zum Schutz zu verhelfen. Eine echte (allgemeine oder 
rechtsstaatliche) Schutzpflicht liegt dagegen vor, sofern sich die Verpflichtung zum 
Schutz nicht aus den Schutzgütern der Grundrechte unmittelbar ableitet, sondern 
vielmehr auf der objektiven Werteordnung an sich fußt. Diese ist als solche nicht 
vorgegeben, sondern bedarf erst einer Herleitung, die sodann auch in einem ent- 


sprechend weiten Gestaltungsspielraum mündet°°. Letztlich wird der Staat in 


383 Hierzu sowie zu Folgendem ausführlich Kingreen/Poscher, Staatsrecht II, Rn. 134 ff, 141 f so- 
wie ähnlich differenzierend Stern, StaatsR IN/1, S. 937 f, Calliess in: Merten/Papier, HGr II, $ 
44, Rn. 4; Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 192 ff. Zum Verhältnis von Schutz- 
pflichten und mittelbarer Drittwirkung ferner Kahl in: Kahl/Waldhoff/Walter, BonnK GG, Art. 
1 Abs. 3 GG, Rn. 333 f. Dennoch wird in der weiteren Literatur kaum zwischen diesen Varianten 
unterschieden, was vielerlei — berechtigte - Gründe haben mag: Zunächst sind beide Arten gem. 
Art. 1 Abs. 3 GG an alle Staatsgewalten adressiert. Weiter ergibt sich in der Rechtsfolge kein 
Unterschied zwischen den Arten, kommt es doch gleichermaßen zur Anwendung der Verhält- 
nismäßigkeit und der Einbeziehung von Untermaß- und Übermaßverbot. Ebenso kann sich bei 
entsprechender Reduktion des (gesetzgeberischen) Spielraumes ein Anspruch auf staatliches 
Handeln ergeben. Darüber hinaus fußen beide Arten auf der gleichen Grundlage, nämlich dem 
sogleich näher zu erläuternden Zwitterhaftigkeit der dimensionalen Einordnung. Mit ähnlichem 
Ergebnis Klein, NJW 1989, 1633 (1637 ff) sowie Kahl in: Kahl/Waldhoff/Walter, BonnK GG, 
Art. 1 Abs. 3 GG, Rn. 334 aE. Vgl. als einheitlichen Begriff verwendend Sachs in: Sachs, GG, 
Vor Art. 1, Rn. 35, 37-38; Herdegen in: Maunz/Dürig, GG-Kommentar, Art. 1 I, Rn. 78- 
79; Alexy, Theorie der Grundrechte, S. 410 f, Starck, Praxis der Verfassungsauslegung, S. 
46 f; Kloepfer, VerfR II, $ 48, Rn. 55 f; ; Manssen, Staatsrecht II — Grundrechte, Rn. 50; 
von Münch/Mager, Staatsrecht II — Grundrechte, Rn. 51; Schliesky etal., Schutzpflichten und 
Drittwirkung im Internet, S. 47 f, Klein, NJW 1989, 1633 (1637); Dreier, JURA 1994, 505 
(512). Als erweiterten Begriff vorschlagend Müller-Franken in: Schmidt-Bleibtreu/Hofmann/ 
Henneke, GG-Kommentar, Vorb. v. Art. 1, Rn. 24 aE. Ganz anders dagegen Murswiek, Die 
staatliche Verantwortung für die Risiken der Technik, S. 108 sowie Krings, Grund und Gren- 
zen grundrechtlicher Schutzansprüche, S. 243 ff, die zwischen einer primären und sekundären 
Schutzpflicht unterscheiden. 

384 Gemeint istjene zwischen Opfer und Störer als privatrechtliche Personen und dem Staat — so nur 
Erichsen, JURA 1997, 85 (85); Müller-Franken in: Schmidt-Bleibtreu/Hofmann/Henneke, GG- 
Kommentar, Vorb. v. Art. 1, Rn. 23 sowie ausführlich Calliess in: Merten/Papier, HGr II, $ 44, 
Rn. 18. 

385 Vgl. BVerfGE 39, 1 (44); 46, 160 (164); 81, 242 (255); 88, 203 (262); Alexy, Theorie der 
Grundrechte, S. 421 f; Kloepfer, VerfR I, $ 48, Rn. 65 ff, Möstl, DÖV 1998, 1029 (1037 9); 
Erichsen, JURA 1997, 85 (89). 
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beiden Fällen zum Garanten der geschützten Rechtsgüter”°° bzw. Koordinator der 


grundrechtlichen Freiheiten®®”. 


Prima facie lässt sich in dieser Konstellation eine Parallele zur Funktion der Grund- 


rechte als Leistungsrechte erkennen, ’?® folgt aus dieser in bestimmten Fällen ein 


Anspruch und demgemäß eine Verpflichtung des Staates zu einem Handeln®®?. 


Dies lässt auf eine Nähe zu den subjektiv-rechtlichen Funktionen bzw. Dimen- 


sionen der Grundrechte schließen. So ist dem status negativus der Grundrechte 


390 


zugleich eine schützende Dimension gegenüberzustellen.””“ Eine rein subjektiv- 


rechtliche Funktion, wie sie in Form der abwehrenden Staatstätigkeit von Sachs”! 


und Dürig’”? 


vorgetragen wird, führt im Ergebnis aber zu einer Verstärkung bzw. 
Legitimation der Eingriffsbefugnis des Staates in die Grundrechte Dritter.”” Der 
klassisch liberale Sicherheitszweck, den Isensee aus den Grundrechten in ihrer Ge- 
samtheit schließt, würde auf diese Weise ins Gegenteil verkehrt und die eigentliche 


Funktion der Grundrechte pervertiert.””* Sie kann daher nur als Ausgangspunkt 


386 So Klein, NJW 1989, 1633 (1634). 

387  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 176. 

388 Auch Robbers, Sicherheit als Menschenrecht, S. 125 f greift diese Parallele auf, jedoch basierend 
auf der aktiven Handlungsweise des Staates. 

389 Vgl. BVerfGE 39, 1 (46); Müller-Franken in: Schmidt-Bleibtreu/Hofmann/Henneke, GG- 
Kommentar, Vorb. v. Art. 1, Rn. 23 aE. Grundsätzlich ergibt sich kein Anspruch aus einer 
Schutzpflicht — siehe nur BVerfGE 77, 170 (215): „Nur unter ganz besonderen Umständen 
kann sich diese Gestaltungsfreiheit in der Weise verengen, daß allein durch eine bestimmte 
Maßnahme der Schutzpflicht Genüge getan werden kann.“; Starck, Praxis der Verfassungs- 
auslegung, S. 83 unter Bezug auf die Gewaltenteilung; Wahl/Masing, JZ 1990, 553 (562); 
Dietlein, Die Lehre von den grundrechtlichen Schutzpflichten, S. 67 f. Zum Recht auf Schutz 
im Detail Robbers, Sicherheit als Menschenrecht, S. 124 ff. 

390 Stern, StaatsR IIV/1, S. 945 f; Schliesky etal., Schutzpflichten und Drittwirkung im Inter- 
net, S. 47. Vgl. auch Calliess in: Merten/Papier, HGr II, $ 44, Rn. 18; Isensee in: Isensee/ 
Kirchhof, HStR IX, $ 191, Rn. 192. 

391 Sachs in: Sachs, GG, Vor Art. 1, Rn. 35, 37. 

392 Dürig, AöR 81 (1956), 117 (118). 

393 Vgl. Murswiek, Die staatliche Verantwortung für die Risiken der Technik, S. 123. 

394  Isensee, Das Grundrecht auf Sicherheit, S. 31 f; vgl. auch Dietlein, Die Lehre von den grund- 
rechtlichen Schutzpflichten, S. 21 f, mwN auch Calliess in: Merten/Papier, HGr II, $ 44, Rn. 
8. Seine Wurzeln findet dieser Gedanke auch in den Theorien Kants, siehe hierzu im Detail 
Starck, Praxis der Verfassungsauslegung, S. 49 f. 
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genutzt werden.°” 


Darüber hinaus ist der status positivus, welcher ebenfalls den 
subjektiv-rechtlichen Funktionen zuzuordnen ist, nicht zu vernachlässigen: Durch 
die Hinzunahme der positiven Komponente werden die Grundrechte in ihrer klas- 
sischen Funktion auf der Ebene zwischen Privaten ausgestaltet und erweitert. 


Ihnen kommt so eine noch breitere Geltung zu.””® 


Diesem Verständnis ist der objektive Wertgehalt zu Grunde zu legen. Darunter 
ist nach der grundlegenden Lüth-Entscheidung des Bundesverfassungsgerichts 
der Gehalt der Grundrechte als Wertesystem zu verstehen, sodass sich daraus 
eine für das Sozialgefüge wegweisende Grundentscheidung in allen (rechtlichen) 


397 Auf Basis dieses überindividuellen Gehaltes der Grundrech- 


Bereichen ergibt. 
te ist der Staat angesichts seiner Vormachtstellung®”® zur Fürsorge angehalten. 
Hinsichtlich der subjektiv-rechtlichen Funktionen wirkt er damit als Gravitations- 
zentrum.” Erstmals umfängliche Anerkennung fand die objektiv-rechtliche Di- 
mension erst 1975 in der ersten Schwangerschaftsabbruch-Entscheidung.*"” Die 
Einordnung der Schutzpflicht in die objektiv-rechtliche Dimension wird später 
in der wiederholten Entscheidung zum Schwangerschaftsabbruch aufgegriffen*' 
und den Entscheidungen zum Schutz vor Terrorismus*”, zu Risiken der Technik 


in Belangen des Umweltschutzes“? und der Gesundheit” 


fr+05 


, zum Anspruch des 
Kindes auf Vaterschaftsauskun und zur medizinischen Versorgung*" bestä- 


tigt. 


395 So auch Sandfuchs, Privatheit wider Willen, S. 118; vgl. auch Wahl/Masing, JZ 1990, 553 
(558). 

396 Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 159; Unruh, Zur Dogmatik der grundrecht- 
lichen Schutzpflichten, S. 56 f. 

397 Vgl. BVerfGE 7, 198 (205 f). 

398 Diese anhand der Privatautonomie abbildend Kahl in: Kahl/Waldhoff/Walter, BonnK GG, Art. 
1 Abs. 3 GG, Rn. 370. 

399 So Dreier, JURA 1994, 505 (512). 

400 BVerfGE 39, 1 (41 f). 

401 BVerfGE 88, 203 (252). 

402 BVerfGE 46, 160 (164 f); 49, 24 (53 ff). 

403 BVerfGE 49, 89 (142); 53, 30 (57). 

404 BVerfGE 56, 54 (73). 

405 BVerfGE 96, 56 (64). 

406 Vgl. BVerfGE 115, 25 (49). 


94 


II. Die Schutzpflichten des Staates: Eine eigene Kategorie? 


Insoweit scheinen sich die subjektiv-rechtliche — sowohl klassisch-liberal als auch 
positiv erweiternd — und die objektive Werteordnung der Grundrechte gegenüber- 
zustehen. Wie dargestellt verhalten sie sich jedoch nicht ausschließlich konträr 
zueinander, sondern verschmelzen letztlich in einer umfänglichen Betrachtung 
eines mehrpoligen Verfassungsverhältnisses.*?” Seinen Ursprung findet dieses in 
der Kollision grundrechtlicher Interessen und Güter, namentlich der mittelbaren 
Drittwirkung der Grundrechte.“ Die obligatorische Aufgabe des Staates, den 
Grundrechtsträger vor Gefahrensituationen im Dreiecksverhältnis zu schützen, 
ist insbesondere durch die speziellen Güter der Art. 1-19 GG geprägt. Dem- 
entsprechend sind ihre Eigenheiten im Einzelfall zu beachten. In der jeweiligen 
Gewichtung entsteht auf Grundlage der objektiven Verpflichtung des Staates durch 
die Schärfung an den subjektiv-rechtlichen Dimensionen des Grundrechtskatalogs 


eine im Einzelfall zu betrachtende Schutzpflicht,*” 


g+10 


welche durch bereichsdogma- 


tisches Ausbalancieren zu ermitteln ist“ ". Vor diesem Hintergrund erscheint es 


407 Diese Theorie aufstellend Calliess in: Merten/Papier, HGr II, $ 44, Rn. 19 ff, welche unter 
anderem in BVerfGE 115, 205 (232 f) herangezogen wird. 

408  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 193. 

409 So auch Müller-Franken in: Schmidt-Bleibtreu/Hofmann/Henneke, GG-Kommentar, Vorb. v. 
Art. 1, Rn. 26. 

410 Zur Vorgehensweise Jeand’Heur, JZ 1995, 161 (165), unter dem Stichwort der Resubjekti- 
vierung der objektiv-rechtlichen Funktion der Grundrechte darstellend Dreier in: Dreier, GG, 
Vorb., Rn. 95 sowie Robbers, Sicherheit als Menschenrecht, S. 193 f, Unruh, Zur Dogmatik 
der grundrechtlichen Schutzpflichten, S. 58 ff, 64. 
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nicht abwegig, diese Zusammensetzung aus subjektiven und objektiven Elementen 


in Form der Schutzpflichten als eigene Kategorie anzuerkennen.*!! 


Unabhängig von dieser Einordnung haben sich sowohl in der Literatur als auch 
in der Rechtsprechung des Bundesverfassungsgerichts Kriterien herausgebildet, 
nach denen eine Schutzpflicht entsteht. Zuvorderst bedarf es eines grundrechtlich 
geschützten Gutes, wofür prinzipiell jedes grundrechtliche Schutzgut in Betracht 
kommt.*!? Dazu muss das jeweilige Gut hinreichend durch einen gegenwärtigen 
oder drohenden Eingriff ersichtlich gefährdet sein. Dieser kann beispielsweise in 
einer nicht unerheblichen Einwirkung auf das grundrechtliche Schutzgut gegen 
den Willen des Grundrechtsträgers bestehen, muss aber von einem grundrechts- 
fähigen und privaten Störer ausgehen. !? Auf eine Rechtswidrigkeit des Handelns 


411 Diesem Ansatz scheinbar ebenso folgend Klein, NJW 1989, 1633 (1633, 1639), da dieser die 
Schutzpflichtenfunktion der Grundrechte „neben“ die subjektive und objektive Grundrechts- 
funktion setzt. Weiter ordnet Kloepfer, VerfR IL, $ 48, Rn. 58 der Schutzpflicht sowohl objektiv- 
als auch subjektiv-rechtliche Gehalte zu und deutet zumindest die Ambivalenz an. Ähnlich auch 
Calliess in: Merten/Papier, HGr II, $ 44, Rn. 24, wobei hier die Schutzdimension tendenziell 
auf gleicher Ebene der Abwehrdimension beheimatet ist. Weiter bezeichnet Isensee in: Isen- 
see/Kirchhof, HStR IX, $ 191, Rn. 194 die dargestellte Problematik als „Eigenart“ und fasst 
zusammen: „Die Einteilung nach subjektiven und objektiven Grundrechtsfaktoren bündelt Dis- 
parates und trennt Zusammengehöriges, nämlich die Abwehr- und Schutzfunktion, die zwei 
Seiten einer Medaille sind: Schutz des identischen grundrechtlichen Gutes, jene vor dem staat- 
lichen, diese vor dem privaten Eingriff.“ Deutlich auch Dreier in: Dreier, GG, Vorb. Rn. 104: 
„Schutzpflichten bilden eine eigenständige Grundrechtsdimension“ sowie Krings, Grund und 
Grenzen grundrechtlicher Schutzansprüche, S. 170: „Schutzpflichten als [...] eigenständige[n] 
Grundrechtsfunktion“. 

412  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 218; Kloepfer, VerfR II, $ 48, Rn. 60; Schlies- 
kyetal., Schutzpflichten und Drittwirkung im Internet, S. 51 f. Eine Übersicht zu den bislang 
vom Bundesverfassungsgericht angenommenen Schutzpflichten zusammenstellend Starck, Pra- 
xis der Verfassungsauslegung, S. 57 ff sowie Krings, Grund und Grenzen grundrechtlicher 
Schutzansprüche, S. 174 ff. 

413  Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 218, 225 f, 240 f; Krings, Grund und Gren- 
zen grundrechtlicher Schutzansprüche, S. 190; Dietlein, Die Lehre von den grundrechtlichen 
Schutzpflichten, S. 87 f, 102 f; Unruh, Zur Dogmatik der grundrechtlichen Schutzpflichten, S. 
75 f; Erichsen, JURA 1997, 85 (87); vgl. auch Isensee, Das Grundrecht auf Sicherheit, S. 37; 
Robbers, Sicherheit als Menschenrecht, S. 124/125. Gerade letzteres ist zur Abgrenzung der rein 
abwehrrechtlichen Dimension notwendig — hierzu ebenfalls Isensee in: Isensee/Kirchhof, HStR 
IX, $ 191, Rn. 247 f. 
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kommt es nicht an.*!* Vielmehr sind Schadensausmaß und Eintrittswahrschein- 
lichkeit als Maßstab proportional ins Verhältnis zu setzen.*!” Je größer das po- 
tentielle Schadensausmaß, desto geringer die erforderliche Eintrittswahrschein- 
lichkeit.*!€ Letztlich muss der betroffene Grundrechtsträger auch schutzbedürftig 
sein. Denn dies entfällt, soweit bereits ein angemessenes Schutzniveau gegeben 
ist — beispielsweise durch mögliche Eigeninitiativen oder bereits geleistete Erfül- 
lung der Schutzpflicht von Seiten aller Staatsgewalten.*!” Ebenfalls ausschließend 
wirkt die Selbstgefährdung des Grundrechtsträgers, sofern sie nicht auf einem 
Übergewicht des Störers basiert.*'® Schließlich kann der Staat nicht für jegliche 
Störung privater Rechtsbeziehungen einstehen und sich schützend vor den Be- 
troffenen stellen. Die Schutzpflicht soll nur im Einzelfall, wenn eine Untätigkeit 
des Staates gegeben ist, eine entsprechende Verpflichtung entstehen lassen.*!? Die 
Erfüllung der Schutzpflicht steht folglich unter dem Vorbehalt des Möglichen.*® 


Ist der Tatbestand der Schutzpflicht erfüllt und das Potential für eine notwendige 
Schutzpflichtenhandlung gegeben, bleibt zu untersuchen, inwieweit den Obrigkei- 
ten ein Spielraum zur Umsetzung der Schutzpflicht gegeben ist. Grundsätzlich ist 
hierbei von einem weiten Gestaltungsspielraum auszugehen, *?! sowohl inhaltlich 
als auch bei der Wahl der Mittel. Dennoch ist das Gesetz regelmäßig das Mittel der 


414  Dietlein, Die Lehre von den grundrechtlichen Schutzpflichten, S. 106; Hermes, Das Grundrecht 
auf Schutz von Leben und Gesundheit, S. 226 f, Krings, Grund und Grenzen grundrechtlicher 
Schutzansprüche, S. 233. 

415 Murswiek, Die staatliche Verantwortung für die Risiken der Technik, S. 85; Hermes, Das 
Grundrecht auf Schutz von Leben und Gesundheit, S. 236. 

416 Murswiek, Die staatliche Verantwortung für die Risiken der Technik, S. 86 mwN; Schlies- 
ky etal., Schutzpflichten und Drittwirkung im Internet, S. 54. 

417 Vgl. Möstl, DÖV 1998, 1029 (1036); Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 239, 
271f. 

418 Hierzu BVerfGE 81, 242 (252 ff); Erichsen, JURA 1997, 85 (87). Zur Problematik allgemein 
Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 244 f. Diese Frage stellt sich ebenso bei der 
Nutzung der digitalen Identität, siehe Abschnitt C.M.2.. 

419  Möstl, DÖV 1998, 1029 (1030 f) sowie weitere Verweise in Fn. 389. 

420 BVerfGE 33, 303 (333) sowie E 147, 253 (Rn. 105); Isensee in: Isensee/Kirchhof, HStR IX, $ 
191, Rn. 274. 

421 BVerfGE 77, 170 (214 f); 79, 174 (202); 85, 191 (212); 88, 203 (262); 96, 56 (64); 117, 202 
(227, Rn. 63). Vgl. auch E 46, 160 (165); 39, 1 (44); 56, 54 (81); Urteil vom 19.12.2017 - Az. 
1 BvL 3/14 -, Rn. 115. Auch Kahl in: Kahl/Waldhoff/Walter, BonnK GG, Art. 1 III, Rn. 374; 
Dreier in: Dreier, GG, Vorb. Rn. 103. 
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Wahl.*”? Inhalt der Schutzpflicht ist grundsätzlich keine explizite Verpflichtung 
zu einer inhaltlich bestimmten Handlung, sondern oft nur zum bloßen „Ob“. Dies 
folgt gerade daraus, dass es sich bei Schutzpflichten um Prinzipiennormen mit Ver- 
wirklichungstendenz handelt.*?? Sie ist eo ipso unbestimmt und unspezifisch.** 
Die Ausgestaltung dieses „Ob“ ist aber am angemessenen Schutzniveau zu orien- 
tieren. Daher ist einzubeziehen, welche Mittel von Seiten der Gewalten bereits zur 


425 


Umsetzung der Schutzpflicht genutzt wurden und ob diese effektiv,” mithin auch 


funktions- und gewaltenspezifisch geeignet sind*?°. Die Frage der Effektivität be- 


1,27 


misst sich allerdings nach dem Untermaßverbo welchem das Übermaßverbot 


422 Kahl in: Kahl/Waldhoff/Walter, BonnK GG, Art. 1 III, Rn. 332 f, 373 f; Dreier in: Dreier, GG, 
Vorb. Rn. 102; Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 281. Als „gesetzesmediati- 
siert“ bezeichnend /sensee, Das Grundrecht auf Sicherheit, S. 42 ff. 

423 Vgl. Böckenförde, Der Staat 29 (1990), 1 (13, 21 f) als Rückschluss aus Alexy, Theorie der 
Grundrechte, S. 75 ff. 

424  Wahl/Masing, JZ 1990, 553 (558). 

425 Vgl. Möstl, DÖV 1998, 1029 (1036 f, 1038 f); Erichsen, JURA 1997, 85 (88). 

426 Wahl/Masing, JZ 1990, 553 (559). 

427 Erstmals erwähnend BVerfGE 88, 203 (340), anschließend fortgeführt in BVerfG NJW 1995, 
2343; NJW 1996, 651. Dabei bezieht sich die erstmalige Erwähnung auf die Ausführungen von 
Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 301, 304 f. Dennoch kommt das ius primae 
intentionis Schuppert, Funktionell-rechtliche Grenzen der Verfassungsinterpretation, S. 14-15 
zu. 
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gegenübersteht*”® und so einen dazwischenliegenden Gestaltungs- und Ermes- 
sensspielraum aufspannt*??. Die Prämisse des Untermaßverbots gleicht mit dem 
Ziel des generösen Grundrechtsschutzes einem Optimierungsgebot.*?° Es bleibt 
allerdings bei einer bloßen Optimierung, da mit der effektivsten Schutzpflichten- 
erfüllung nicht immer auch eine vollumfängliche Risikobeseitigung einhergehen 
muss.*! Vielmehr ist ein angemessenes Maß zwischen Effektivität und staatli- 
cher Möglichkeit zu wählen, welches nur begrenzt der verfassungsgerichtlichen 
Überprüfung zugänglich ist. Sollte das Mittel der Wahl sich im Rahmen des Un- 
termaßverbots erst im Laufe der Zeit und gesellschaftlichen Wandels als ineffektiv 
erwiesen haben, so ist die Staatsgewalt auf die Verpflichtung zur Nachbesserung 
hinzuweisen.*? Der Auslegung und Anwendung der Schutzpflichten kommt so 


ein dynamischer Charakter zu.*° 


428 So auch Byrde abweichend in BVerfGE 121, 317 (380) — „(...) bei dem der Gesetzgeber von 
Verfassungs wegen ohnehin schon zwischen Untermaßverbot hinsichtlich einer möglichen Ver- 
letzung der Schutzpflicht und Übermaßverbot hinsichtlich der durch die Regelung Betroffenen 
eingeklemmt ist.“ Kritisch einschließlich einer Gesamtdarstellung der Ansichten Tzemos, Das 
Untermaßverbot, S. 74 ff, insbes. 82 f. Ebenso Krings, Grund und Grenzen grundrechtlicher 
Schutzansprüche, S. 300; Isensee in: Isensee/Kirchhof, HStR IX, $ 191, Rn. 304 f sowie Cal- 
liess in: Merten/Papier, HGr II, $ 44, Rn. 30; Möstl, DÖV 1998, 1029 (1038); Sandfuchs, Pri- 
vatheit wider Willen, S. 123 f. Ablehnend allerdings Hain, DVBl 1993, 982, welcher Unter- 
und Übermaßverbot vereint, indem er den Begriff der Erforderlichkeit mit dem der Effektivität 
gleichsetzt. Den Begriff des Untermaßverbots erklärt er daher zur nicht notwendigen Erwei- 
terung der verfassungsrechtlichen Termini. Dabei verkennt er allerdings die bereits erläuterte 
Unterscheidung zwischen Effektivität und Erforderlichkeit. Weiter sei Sandfuchs zuzustimmen, 
da ohne ein Mindestmaß an Schutz die Weiterentwicklung der Schutzbereiche durch Rechtspre- 
chung und die stetige Veränderung des Staates und der Welt, die den Staat zur Nachbesserung 
zwinge, leer liefe. Denn auch letztere ist Teil der Erfüllung der Schutzpflichten — siehe nur 
BVerfGE 88, 203 (310). 

429 Michael, JuS 2001, 764 (767); Möstl, DÖV 1998, 1029 (1038); Dierlein, Die Lehre von den 
grundrechtlichen Schutzpflichten, S. 181. 

430 Krings, Grund und Grenzen grundrechtlicher Schutzansprüche, S. 259 f, 262; Unruh, Zur 
Dogmatik der grundrechtlichen Schutzpflichten, S. 78; Böckenförde, Der Staat 29 (1990), 1 (21 
f); Wahl/Masing, JZ 1990, 553 (554). 

431 Vgl. BVerfGE 49, 89 (137), 53, 30 (59); 77, 170 (227); Isensee in: Isensee/Kirchhof, HStR 
IX, $ 191, Rn. 238, 154; Starck, Praxis der Verfassungsauslegung, S. 80; Klein, NJW 1989, 
1633 (1638); Pietrzak, JuS 1994, 748 (751). Das verbleibende Risiko ist insoweit als rechtlich 
erlaubtes Risiko anzusehen — Murswiek, Die staatliche Verantwortung für die Risiken der 
Technik, S. 87. 

432 Pietrzak, JuS 1994, 748 (752). 

433 BVerfGE 88, 203 (309); Sandfuchs, Privatheit wider Willen, S. 125. 
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2. Die digitale Identität im Kontext der 
Schutzpflichten-Lehre 


Konklusiv ist nun wie bei vorigen Schutzkonzepten der Verfassung der Bezug zum 
Begriff der digitalen Identität aufzuzeigen. Dies kann, insbesondere hinsichtlich 
des folgenden Kapitels, nur überblickshaft erfolgen und beispielhaft nur anhand 
von Einzelfällen vertieft werden. 


Betrachtet man die digitale Gesamt-Identität als digitale Replica der (analogen) 
Persönlichkeit, so steht das Allgemeine Persönlichkeitsrecht im Mittelpunkt der 
Suche nach möglichen Schutzgütern. Das Fernmeldegeheimnis des Art. 10 Abs. 1 
GG, die technischen Aspekte des Art. 13 Abs. 1 GG sowie letztlich auch des All- 
gemeinen Persönlichkeitsrechts selbst sind lediglich begleitend hinzuzuziehen, 
da eine digitale Identität nicht ohne die entsprechende Informationsinfrastruk- 
tur abbildbar ist. Allen ist vorliegend aber gemein, dass ihre Zwecke zunächst 
nicht dafür vorgesehen waren, in einer derartig technischen bzw. modernen Lesart 
gesehen zu werden. Trotzdem lassen sich ihre Zwecke auf einen gemeinsamen 
Nenner zurückführen, dem in der Digitalisierung sowie hinsichtlich der digitalen 


Identität ein besonderer Stellenwert zukommt: Die Vertraulichkeit®* 


. Als poten- 
tielles, generelles Schutzgut für die Schutzpflicht kommt daher der Erhalt der 
Vertraulichkeit und der Integrität von digitalen Informationen in Betracht, wel- 
cher durch eine Aggregation und die faktischen Eingriffsvarianten der Erhebung, 
Speicherung, Verarbeitung und Weitergabe beeinträchtigt werden könnten. Hier- 
für spricht insbesondere die neueste Schöpfung des Bundesverfassungsgerichts in 
Form des Grundrechts auf Gewährleistung der Vertraulichkeit und Integrität in- 
formationstechnischer Systeme.*> Hinzu tritt im Lichte dieser und mit Blick auf 
die informationelle Selbstbestimmung die Herrschaft über die eigenen Daten, sei 
es durch den Grundsatz der Datenminimierung oder die Transparenz bzgl. der Ver- 
arbeitungsvorgänge. Diese finden sich ebenfalls im Standard-Datenschutzmodell 


434 BVerfGE 120, 274 (306); 125, 260 (309). Vgl. hinsichtlich der informationellen Selbstbestim- 
mung Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 11, 13; Di Fabio in: 
Maunz/Dürig, GG-Kommentar, Art. 2, Rn. 149-150. 

435 Erstmals 120, 274 (302 ff). 
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wieder, welches die deutschen Datenschutzbehörden auf Grundlage der DSGVO 
— insbesondere der Prinzipien gem. Art. 5 DSGVO - entworfen haben.*?° Wen- 
det man den Blick ab von natürlichen Personen, könnten darüber hinaus sich 
auch juristische Personen des Privatrechts ob ihrer digitalen Identität auf verfas- 
sungsrechtliche Rechtsgüter berufen. Augenscheinlich kommen hierfür die Be- 
rufsfreiheit des Art. 12 Abs. 1 sowie die Eigentumsfreiheit des Art. 14 Abs. 1 
GG in Betracht. Die Frage, ob sich juristische Personen des Privatrechts auch 
auf einen Teil der Schutzrichtungen des Allgemeinen Persönlichkeitsrechts beru- 
fen können, sei rekurrierend auf Kapitel B.1.2. erst später in digitalen Belangen 
näher auszuführen.*” In technischer Hinsicht gilt für juristische Personen des 
Privatrechts allerdings das bereits für natürliche Personen erläuterte. Damit sind 
zunächst potentiell mehrere gefährdete Rechtsgüter ersichtlich, aus welchen sich 
eine Schutzpflicht ergeben könnte. 


Werden nun diese abstrakten Werte ins Auge gefasst, bedarf es darüber hinaus 
einer Gefährdung der digitalen Identität in besagten Gütern. Dramatisch könnte 
hier nun „das Internet“ angeführt werden, was sich jedoch wegen der Mannigfal- 
tigkeit der Szenarien jeglicher Konkretheit entzieht. Zielführender ist es dagegen, 
vorerst oberflächlich konkrete Szenarien zu betrachten: So könnte für die Gefahr 
der Vertraulichkeit von Daten durch Handlungen Dritter der Fortschritt auf dem 
Gebiet des Big Data herangezogen werden. Schon im Jahr 2010 erkannte das Bun- 
desverfassungsgericht, dass die Verarbeitung der Daten zu einer Aufhebung der 


Vertraulichkeit und Privatsphäre führen kann, *® 


wenngleich zu diesem Zeitpunkt 
die Technik der künstlichen Intelligenz noch nicht den aktuellen Stand erreicht 
hatte. Die Sammlung und Auswertung von Daten wird heute aber nicht — wie im 
damaligen Urteil — nur von Telekommunikationsanbietern übernommen, sondern 
vermehrt von privaten Unternehmen. Aufrufe von Webseite, die Verweildauer, 
das Aufrufen von Links bzw. die damit einhergehende Auswahl (sog. Clicks) — 


all dies wird analysiert und intern zu einer digitalen Identität zusammengefasst. 


436 Zur Verankerung der Gewährleistungziele des Modells in der DSGVO siehe Datenschutzkon- 
‚ferenz des Bundes und der Länder, Das Standard-Datenschutzmodell (Version 1.1), S. 18 f. 

437 Siehe Kapitel D.1.2. 

438 BVerfGE 125, 260 (319). 
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C. Verfassungsrechtliche Schutzkonzepte 


Als Gefahr ergibt sich also nicht nur der bloße Kontrollverlust über die erhobenen 
Daten, sondern auch die Verarbeitung durch künstlicher Intelligenzen und an- 
deren Algorithmen, welche wiederum eigene Risiken aufweisen. Beispielsweise 
greifen Art. 22 Abs. 1 und Erwägungsgrund 91 der DSGVO die bei der auto- 
matisierten Verarbeitung personenbezogener Daten zum Zwecke des Profilings 
auf und verweisen insbesondere auf eine Diskriminierung durch automatisierte 
Entscheidungsalgorithmen, was sich in einer Gefährdung des Gleichbehandlungs- 
grundsatzes aus Art. 3 Abs. 1 GG niederschlagen könnte. 


Ferner sind digitale Identitäten auch mittelbar in der technischen Infrastruktur 
gefährdet. Es erscheint beispielsweise nicht ungewöhnlich, dass durch eine offen- 
gelegte digitale Identität ein Man-in-the-Middle-Angriff"” auf Systeme innerhalb 
eines Unternehmens oder einem privaten WLAN-Netzwerk gelingen kann. Pro- 
minent wurde ein solches Vorgehen im Jahr 2018 im Rahmen des Angriffs der 
staatlichen Infrastruktur (sog. Bundeshack).**" Ein solcher Übergriff auf die Da- 
ten Personen stellt insbesondere ein entsprechendes Risiko für das Unternehmen 
bzw. die juristische Person dar, wenn es zu einem digitalen Identitätsdiebstahl 
kommt. Schließlich könnten sich Leaks von Datensätzen neben den grundrechtli- 
chen Beeinträchtigungen natürlicher Personen auf die Stellung des Unternehmens 
im Wettbewerb auswirken. Der daraufhin beschädigte Ruf riskiert insofern die 
berufliche Betätigung nach Art. 12 Abs. 1 GG und ggf. das Betriebseigentum iSd 
Art. 14 Abs. 1 GG in Form von Datensätzen.**' Gefahren für verfassungsrecht- 
liche Schutzgüter, sowohl informationell als auch technisch, sind damit vorerst 
hinreichend aufgezeigt. 


439 Bei einem Man-in-the-Middle-Angriff handelt es sich um ein Szenario, bei welchem sich der 
Hacker als veritabler Mittler zwischen zwei kommunizierenden Schnittstellen ausgibt. Dadurch 
gelingt es dem Hacker, vertrauenswürdige Kommunikation mitzulesen und ggf. auch vollständig 
umzuleiten. Näher Hellmann, IT-Sicherheit, S. 35 ff. 

440 Zur Vorgehensweise beim Bundestags-Hack 2015 siehe etwa https://www.heise.de/secur 
ity/meldung/Bundestags- Hack- Angriff-mit-gaengigen-Methoden-und-Open-Source-Tool 
s-3129862.html. Zur Lage im Falle des „Bundeshack 2018“ gibt es nur wenige Informationen, 
die dennoch auf eine ähnliche Vorgehensweise bzgl. der IVBB-internen Outlook-Server 
hindeutet. 

441 Zum Zusammenspiel siehe vgl. Axer in: Epping/Hillgruber, BeckOK GG, Art. 14, Rn. 27. 
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IV. Das Zusammenwirken der subjektiv- und objektiv-rechtlichen Wirkdimensionen 


Die verkürzte und nur oberflächliche Prüfung zeigt schon die Relevanz der Materie 
der digitalen Identität. Die digitale Identität als Schnittstelle für Systeme sowie in 
ihrer Gesamtheit als Ebenbild der analogen Persönlichkeit bedarf eines umfängli- 
chen Schutzes vor Eingriffen Dritter gleichermaßen wie vor Eingriffen des Staates. 
Obschon an dieser Stelle keine konkreten Gefahren und Szenarien ausführlich dar- 
gestellt werden, zeigt sich die negative Seite der Digitalisierung und Vernetzung 
von Informationen schon an wenigen Beispielen. Prinzipiell ist die Schutzpflicht 
als verfassungsrechtliches Regulativ damit von besonderem Rang. Daraus kann 
aber nicht der Schluss gezogen werden, dass sich daraus die Lösung der obigen 
wie zukünftiger Risikoszenarien ableitet. Die stetige Fortentwicklung von Soft- 
und Hardware und die Facettenvielfalt des Internets ergeben nämlich ebenso ein 
Füllhorn an Handlungsmöglichkeiten des Staates.** Eine Verpflichtung zu einem 
bestimmten Handeln kann daher auch im Rahmen dieser Arbeit nicht festgestellt 
werden. Stattdessen werden im Folgenden geeignete und effektive Möglichkeiten 
aufgezeigt, soweit sich im Einzelfall eine konkrete Gefährdung des Grundrechts 
ergibt. Schließlich ist es Aufgabe der Schutzpflicht, typische (digitale) Problem- 
lagen der heutigen Gesellschaft auch grundrechtstypisch zu betrachten und den 


Ruf nach der Gewährleistung grundrechtlicher Freiheit zu konkretisieren.** 


IV. Das Zusammenwirken der subjektiv- und 
objektiv-rechtlichen Wirkdimensionen 


Die Verfassung ist, wie dieses Kapitel zeigt, in ihrer Schutzwirkung als multidi- 
mensionales Schutzkonzept aufzufassen, das als Richtung — denn so will es Art. 1 
Abs. 1 GG expressis verbis — den Schutz des Menschen und seiner Freiheit im 
Blick hat. Auf dem Boden der objektiv-rechtlichen Wirkdimension der Verfas- 
sung als solches wirken aus den einzelnen Grundrechten auch subjektiv-rechtliche 


442  Schliesky etal., Schutzpflichten und Drittwirkung im Internet, S. 104. 
443 Vgl. Möstl, DÖV 1998, 1029 (1030). 
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C. Verfassungsrechtliche Schutzkonzepte 


Aspekte hindurch. Darunter sind unter anderem der status negativus sowie sta- 
tus positivus der einzelnen Grundrechte einzuordnen. In deren Konnex ist ferner 
das Konzept der Schutzpflicht aufzunehmen, welche aufgrund ihres präventiv- 
hindernden Charakters*** einen nahezu eigenständigen Wert erlangt. Die Ver- 
schmelzung der subjektiv- und objektiv-rechtlichen Gehalte führt als Konzept zu 
einem vollumfänglichen Schutz, der auch in Zukunft einen Schutz bieten soll und 
der dynamischen Interpretation des Grundgesetzes inherent ist. 


Diese Interpretationsweise kommt, soweit dies vorläufig abstrakt festgestellt wer- 
den konnte, dem Begriff der digitalen Identität zugute. So kann dem status negati- 
vus als Abwehrfunktion der Grundrechte die Einschränkung der Nutzung digitaler 
Identitäten oder der unzulässigen Profilbildung im Rahmen hoheitlicher Tätig- 
keiten zugerechnet werden, jedoch nicht die Abwehr von Eingriffen zwischen 
Privaten. Der status positivus verweist in seiner teilhaberechtlichen Dimension 
dagegen auf die infrastrukturelle Gewährleistung der digitalen Identität, wohin- 
gegen eine Teilhabe an der Gleichbehandlung in Zugang und Nutzung digitaler 
Identitäten nur schwerlich ersichtlich ist. Verbleibende Lücken, wie jene gegen- 
über Privaten, sind entweder durch die Auffangwirkung von Grundrechten oder 
die Verpflichtung des Gesetzgebers zum beschützenden Einschreiten im Rahmen 
der Schutzpflichtenerfüllung zu schließen. Die fortschreitende Entwicklung im 
Bereich der Informatik, ein dadurch ausgelöster Verfassungswandel und die da- 
mit einhergehende neue Lesart von Generalklauseln spielen hierbei eine wichtige 
Rolle. Letztere deutet aber auf die Einzelfallbezogenheit hin, die im Rahmen bloß 
einer Untersuchung kaum abschließend beurteilt werden kann. 


444 Pietrzak, JuS 1994, 748 (750) 
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D. Konkrete Schutzaspekte kraft 
Verfassungsrecht 


Dadurch kann ein für sich gesehen belangloses Datum einen neuen Stellenwert 
bekommen; insoweit gibt es unter den Bedingungen der automatischen 
Datenverarbeitung kein „belangloses“ Datum mehr. 

— BVerfGE 65, 1 (45) — Volkszählung 


Die bisherigen Ausführungen münden nun in der materiellen Auseinandersetzung 
mit den Grundrechtsgütern in digitalen Belangen. Wurde der Untersuchungsge- 
genstand bislang nur definitorisch (Kapitel B.) und abstrakt (Kapitel C.) umrissen, 
so ist nun zu zeigen, inwieweit die digitale Identität materiell von der Verfassung 
bereits umfasst oder erst im Wege der Auslegung der relevanten sachlichen Schutz- 
bereiche hineinzulesen ist. Hierbei ist, wie bereits in Kapitel B.II. festgestellt, 
zwischen natürlichen Personen und juristischen Personen iSd Art. 19 Abs. 3 
GG zu differenzieren. Weiter ist die Untersuchung materiell in einen informa- 
tionellen bzw. datenmäßigen und in einen technischen Schwerpunkt aufzuteilen. 
Während in ersterem die Daten im Rahmen ihrer Verfügungsmacht und in ih- 
rem Informationsgehalt betrachtet werden, bezieht sich der technische Aspekt auf 
informationstechnische Bezüge und deren grundrechtliche Einordnung. 
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l. Informationelle bzw. datenmäßige 
Betrachtungsweise 


Zunächst ist sich der informationellen Betrachtung der digitalen Identität zu wid- 
men, auch um die Grundlage für die darauffolgende technische Betrachtung zu 
schaffen. Im Mittelpunkt steht also die Betrachtung der digitalen Identität als 
Sammlung von Informationen iSv „Einzelangaben über persönliche oder sach- 
liche Verhältnisse einer bestimmten oder bestimmbaren Person“**. Es kommt 
daher vorliegend nicht auf die einzelne Information und beispielsweise ihr iso- 
liertes Risiko für eine Verletzung des Schutzes personenbezogener Daten und der 
Rechte und Freiheiten der Identitätsinhaber an. Stattdessen ist auf die Kombinati- 
on einzelner Informationen und daraus entstehende Synergien einzugehen, welche 
die digitale Identität besonders kennzeichnen. 


1: Zur digitalen Identität natürlicher Personen 


Vorrangig ist sich den Synergieeffekten der digitalen Identität einer natürlichen 
Person zuzuwenden. Verfassungsrechtlich kann dabei auf die bisher in der Rechts- 
wissenschaft angewendeten Grundrechte bezüglich einzelner Informationen — na- 
mentlich das Allgemeine Persönlichkeitsrecht des Art. 2 Abs. 1 iVm 1 Abs. 1 
GG - sowie einzelne sonstige Schutzgüter im Rahmen bestimmter, spezieller 
Grundrechtsausübung zurückgegriffen werden. In letzterem Fall sticht jedoch die 
rechtswissenschaftliche Diskussion im Rahmen des Rechts auf Dateneigentum 
gem. Art. 14 Abs. 1 GG heraus; ihr kommt daher eine umfangreichere Betrach- 
tung zu. Ferner ist im Rahmen der Berufsfreiheit gem. Art. 12 Abs. 1 GG die im 
Aufkeimen zu begreifende Strömung zu betrachten, die auf personenbezogenen 
Daten basierende Ergebnisse von Algorithmen als Arbeitslohn und dementspre- 
chend die Einspeisung von Daten als Tätigkeit diskutiert. 


445 BVerfGE 65, 1 (42). 
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I. Informationelle bzw. datenmäßige Betrachtungsweise 


a) Allgemeines Persönlichkeitsrecht, Art. 2 Abs. 1 iVm 1 
Abs. 1GG 

Das Allgemeine Persönlichkeitsrecht beinhaltet als „unbenanntes Freiheitsrecht“**° 
mangels eines konkretisierenden Wortlauts oder anderer Anhaltspunkte jedoch 
keinen durchweg eigenen Grundrechtsgehalt, sondern besteht aus mehreren Teil- 
aspekten. Es entspricht einem Konglomerat. Dies ist sowohl auf seine Herlei- 
tung**’ als auch die Subsidiarität**? und Entwicklungsoffenheit (technisch wie 
materiell)**? des Grundrechts zurückzuführen. Gemein ist jedoch allen Teilaspek- 
ten, dass sie im Kern der Selbstbewahrung, Selbstdarstellung oder Selbstbestim- 
mung dienen.* Die jeweiligen Aspekte sind, sei es durch die Berücksichtigung 


tt! oder die materielle Einordnung*”, durch 


im Rahmen der Verhältnismäßigkei 
die Dimensionen der Sphärentheorie geprägt. Neben einer Vielzahl an Fallgrup- 
pen, die auf Basis zivilgerichtlicher Rechtsprechung entstanden sind,“ haben 
sich das Recht auf informationelle Selbstbestimmung und das Grundrecht auf 
Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Sys- 


teme herauskristallisiert und als eigenständige Grundrechte etabliert. Sie stehen 


446 So BVerfGE 54, 148 (153) sowie Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, Band 
I, Art. 2, 14 aE mwN; Murswiek/Rixen in: Sachs, GG, Art. 2, Rn. 64. 

447 Hierzu (kritisch) Lang in: Epping/Hillgruber, BeckOK GG, Art. 2, Rn. 33. 

448 Diese gilt jedoch nicht gegenüber der Handlungsfreiheit gem. Art. 2 Abs. 1 GG. Siehe Murs- 
wiek/Rixen in: Sachs, GG, Art. 2, Rn. 66; Kloepfer, VerfR II, $ 56, Rn. 67. 

449 In materieller Hinsicht BVerfGE 54, 148 (153 f); Lorenz in: Kahl/Waldhoff/Walter, BonnK 
GG, Art. 2 I, Rn. 229, 272; Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, 
Art. 2, Rn. 17; Degenhart, JuS 1992, 361 (366, 368). Technisch dagegen stRspr BVerfGE 65, 
1 (42); 113, 29 (46); 115, 166 (188); 115, 320 (341 f.); 118, 168 (184); 120, 378 (397); 130, 
151 (183). 

450 Vgl. Lang in: Epping/Hillgruber, BeckOK GG, Art. 2, Rn. 34. 

451 Vgl. Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 4; Degenhart, JuS 1992, 
361 (363 f); Kloepfer, VerfR II, $ 56, Rn. 65, 92. 

452 So sind für Lang in: Epping/Hillgruber, BeckOK GG, Art. 2, Rn. 35 ff die Inhalte der Sphä- 
rentheorie bereits zur Umschreibung der Schutzgehalte des Allgemeinen Persönlichkeitsrechts 
anzuwenden. Ähnlich auch Kloepfer, VerfR II, $ 56, Rn. 51 f. 

453 Zu den Ursprüngen in der Rechtsprechung siehe nur Degenhart, JuS 1992, 361 (362 f). 
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daher neben dem Allgemeinen Persönlichkeitsrecht als vollwertige Grundrechte 


auf gleicher Stufe. 


454 


454 


108 


Zur informationellen Selbstbestimmung siehe Kunig, Jura 1993, 595 (603/604); Lorenz in: Kahl/ 
Waldhoff/Walter, BonnK GG, Art. 21GG, Rn. 281, 334; Kube in: Isensee/Kirchhof, HStR VII, 
$ 148, Rn. 66 f; uneinheitlich eine Verselbstständigung einbeziehend Dreier in: Dreier, GG, 
Art. 2 I, Rn. 79. Dementgegen ablehnend BVerfGE 118, 168 (184); 120, 274 (311); BVerfG, 
Beschluss vom 23.10.2006 — Az. 1 BvR 2027/02 -, Rn. 27 nach juris = DuD 2006, 817 (818 
f); Murswiek in: Sachs, GG, Art. 2, Rn. 68, 72; Stern, StaatsR IV/1, S. 231 f, Kingreen/ 
Poscher, Staatsrecht II, Rn. 449 als Recht der Selbstdarstellung; Zuch, Medienpersönlichkeits- 
recht, S. 127 f; Jandt in: Hornung/Schallbruch, IT-Sicherheitsrecht, $ 17, Rn. 17; Schertz, NIW 
2013, 721 (722, 724). Die Ablehnung des BVerfG hat sich jedoch mit Urteil vom 6.11.2019 - 
Az. 1 BvR 16/13 —, Rn. 84 zu einer ausdrücklichen Anerkennung als selbstständiges Grund- 
recht, wenn auch ohne nähere Begründung, gewandelt; bestätigt im Beschluss vom 25.2.2020 
- Az. 1 BvR 1282/17 -, Rn. 6 mittels getrennter Benennung und Prüfung. Hinsichtlich des 
GGVIS befürwortend Ambrock in: Jandt/Steidle, Datenschutz im Internet, A.I., Rn. 39 aE; 
vgl. Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 208 f; sogar beide Ansichten 
bejahend Herrmann, GGVIS, S. 109 f, scheinbar auch BVerfG, Beschluss vom 8.6.2021 - 1 
BvR 2771/18 —, Rn. 29. Dagegen ausschließlich als Ausprägung des Allgemeinen Persönlich- 
keitsrechts bezeichnend BVerfGE 120, 274 (313); BVerfG, Urteil vom 26. April 2022 — 1 BvR 
1619/17 —, Rn. 307; Murswiek in: Sachs, GG, Art. 2, Rn. 68, 73c; Hufen, Staatsrecht II, $ 12, 
Rn. 3 aE; Kloepfer, VerfR II, $ 56, Rn. 97 aE; Freimuth, Gewährleistung der IT-Sicherheit, 
S. 149; Jandt in: Hornung/Schallbruch, IT-Sicherheitsrecht, $ 17, Rn. 20; Luch, MMR 2011, 
75 (76); Sachs/Krings, JuS 2008, 481 (483). In beiden Fällen spricht gegen eine Einordnung 
als bloße Ausprägung die dogmatische Anwendung beider Grundrechte im Wege der Grund- 
rechtskonkurrenzen: Bei der Abgrenzung zu Art. 10 und 13 GG treten beide Grundrechte stets 
als subsidiär auf, wobei die informationelle Selbstbestimmung wiederum lex specialis gegen- 
über der Vertraulichkeit und Integrität informationstechnischer Systeme ist — z.B. E 125, 260 
(310). Dies stimmt zwar mit der generellen Konzeption des Allgemeinen Persönlichkeitsrechts 
überein, führt allerdings zu Schwierigkeiten in der Grundrechtsprüfung. Es erscheint wider- 
sprüchlich, einzelne Unterarten zueinander in ein Verhältnis des lex specialis/lex generalis zu 
setzen, die wiederum auf Basis eines auffangähnlichen Grundrechts fußen (so BVerfGE 120, 
274 (313)), namentlich dem Allgemeinen Persönlichkeitsrecht. Gerät eine der beiden Ausprä- 
gungen in Kollision, würden schon keine Unterschiede im Schutzumfang der ausgeprägten 
Grundrechte bestehen. Ebenso bilden beide ein gemeinsames, sich ergänzendes Schutzkon- 
zept. Sofern am Ausprägungsnormativ festgehalten würde, kann nur von einer Koexistenz und 
einem gleichberechtigten Zusammenwirken ausgegangen werden. Unterschiede bestehen aber 
sowohl hinsichtlich des Schutzbereiches als auch im Rahmen der Rechtfertigung. Gerade das 
GGVIS kennzeichnen Richtervorbehalt und Kernbereichsschutz seit BVerfGE 120, 274 (335 
f); auch zeigt sich in der Definition des Schutzbereiches sub D.II.4. eine materielle Differenz. 
Die informationelle Selbstbestimmung ist zwar durch die Sphärentheorie beeinflusst, jedoch 
durch die aufgezeigten speziellen Anforderungen der Informations-, Auskunfts- und Berichti- 
gungsrechte vielseitig ausstaffiert und erweitert. Qua verfassungsgerichtlicher Rechtsprechung 
hat sich eine ausführliche Spezifizierung ergeben, die unweigerlich eine Verselbstständigung 
beider ehemaligen Grundrechtsausprägungen erkennen lässt. 


I. Informationelle bzw. datenmäßige Betrachtungsweise 


Folglich stehen diese Grundrechte mit ihrem informationellen Bezug zur digitalen 
Identität im Vordergrund der weiteren Untersuchung. Den übrigen Aspekten des 
Persönlichkeitsrechts kommt im Rahmen der Bearbeitung bloß ein ausfüllender 
Charakter zu, da sich im Ergebnis die Entwicklungsoffenheit des Allgemeinen 
Persönlichkeitsrechts per se auch auf die konkreten Ausprägungen der Selbstbe- 
wahrung, Selbstdarstellung und Selbstbestimmung erstrecken. 


b) Das Grundrecht auf informationelle Selbstbestimmung 


Das Grundrecht auf informationelle Selbstbestimmung des Art. 2 Abs. 1 iVm 1 
Abs. 1 GG lässt sich mehrfach in diese Kategorien einordnen. Mit seiner Prämisse 
des Schutzes persönlicher bzw. personenbezogener Daten vor einer unbegrenz- 
ten Erhebung, Speicherung, Verwendung und Weitergabe“ flankiert es sowohl 
den Aspekt der Selbstdarstellung als auch jenen der Selbstbestimmung, auf den 
zweiten Blick auch die Selbstbewahrung. Schließlich dient das grundrechtlich ge- 
schützte Handeln der selbstbestimmten Weitergabe von Daten insbesondere dazu, 
das eigene (auch digitale) Bild in der Gesellschaft zu beeinflussen.*°° Werden 
Daten bzw. Informationen bewusst zurückgehalten, schafft dies einen „informa- 
tionellen Rückzugsort“, der zugleich dem Aufrechterhalten von Intim- und Pri- 
vatsphäre in der Informationsgesellschaft dient.” Zweckgemäß soll durch diese 
und andere Handlungsmöglichkeiten die Selbstbestimmung über den Verbleib und 
die Verwendung der Daten besonders geschützt werden. Andernfalls „kann [der 
Einzelne] in seiner Freiheit wesentlich gehemmt werden, aus eigener Selbstbe- 
stimmung zu planen oder zu entscheiden‘“*°®. Aus dem Grundrecht werden daher 


455 BVerfGE 65, 1 (41 ff, 43); Murswiek/Rixen in: Sachs, GG, Art. 2 I, Rn. 72. 

456 Vgl. Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 17; Kube in: Isensee/ 
Kirchhof, HStR VII, $ 148, Rn. 43 f; Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 2 
I, Rn. 316 ff. Ein umfassendes Verfügungsrecht über die Darstellung in der Öffentlichkeit ist 
jedoch ausgeschlossen, vgl. BVerfGE 101, 361 (380). 

457 Vgl. Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 2 I GG, Rn. 331. 

458 BVerfGE 65, 1 (43) — Einfügung durch den Bearbeiter. 
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D. Konkrete Schutzaspekte kraft Verfassungsrecht 


Informations- bzw. Auskunfts-, Berichtigungs- und Löschungsrechte als ange- 
messene Instrumente herausgelesen.*”” Eine Konkretisierung dieser ist bereits 
durch den deutschen (siehe $$ 32 ff BDSG) und europäischen (siehe Art. 5, 12 ff 
DSGVO) Gesetzgeber vorgenommen worden. 


Anhand dieser Definition bleibt zu klären, ob der Schutzgegenstand entsprechend 
die digitale Identität einbezieht — begrifflich wie hermeneutisch — und inwiefern 
sich dies auf den sachlichen Schutzbereich der informationellen Selbstbestimmung 
auswirkt. 


aa) Entwicklungsoffenheit des Schutzgegenstandes Für die Betrach- 
tung des Schutzbereiches aus einem datenschutzrechtlichen wie digitalen Blick- 
winkel ist es im Vorfeld notwendig, den Schutzgegenstand herauszuarbeiten. 
Daher soll die Reichweite des Grundrechts bestimmt und die digitale Identität 
in ebendiese eingeordnet werden, indem vonseiten einfachgesetzlich vorgesehe- 
ner Instrumente der informationellen Selbstbestimmung der verfassungsrechtliche 
Schutzbereich näher umrissen wird. Vor dem damit rechtlich und technisch ge- 
zeichneten Hintergrund ist auf den verfassungsrechtlichen Kern des Grundrechts 
und die Notwendigkeit des Schutzes aufgrund aktueller Gefahren einzugehen. 


Die einstige Formulierung des Bundesverfassungsgerichts bei der Herausbildung 
des Grundrechts auf informationelle Selbstbestimmung wirkt heute missglückt, 


wenn „persönliche Daten‘“*60 


als zu schützendes Gut definiert werden. Die Eigen- 
schaft eines Datums, „persönlich“ zu sein, kann sich auch darin äußern, dass sie 


subjektiv verliehen wird und damit objektiv bzw. abstrakt nicht nachvollziehbar 


459 Vgl. BVerfGE 65, 1 (46); 100, 313 (361); Rudolf in: Merten/Papier, HGr IV, $ 90, Rn. 30, 46 
ff; Kunig, Jura 1993, 595 (601). Gerade Berichtigungs- und Löschungsrechte bei unrichtigen 
Informationen sind auf das Allgemeine Persönlichkeitsrecht zurückzuführen. So finden sich 
dort im Falle der unrichtigen Berichterstattung der Medien entsprechende Möglichkeiten der 
Gegendarstellung — siehe nur BVerfGE 63, 131 (142 f) sowie Bethge in: Sachs, GG, Art. 5, 
Rn. 164 ff. Zur europarechtlichen Sicht des Selbstdatenschutzes siehe vgl. Kamann/Braun in: 
Ehmann/Selmayr, DSGVO, Art. 17, Rn. 8. 

460 BVerfGE 65, 1 (42/43) — jedoch eigenständig anhand des Begriffs aus $ 2 Abs. 1 BDSG a.F. 
definierend. 
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#61 an Daten. Richtiger, und so 


ist. Insofern ähnelt sie einem Affektionsinteresse 
auch im Datenschutzrecht berücksichtigt, sind personenbezogene Daten durch das 
Grundrecht geschützt. Als Daten sind dabei sowohl codierte als auch uncodierte 
Informationen zu bezeichnen. Handelt es sich um codierte Informationen, müssen 
diese stets interpretiert bzw. übersetzt werden,*? beispielsweise von Maschinen- 
code in für den Menschen lesbaren Informationen. Informationen ohne Codierung 
oder nach einer Decodierung sind dagegen „persönliche Lebenssachverhalte‘“*s?, 
wie beispielsweise der Name oder das Geburtsdatum. Ferner sind auch innere 
Zustände (Meinungen, Wünsche, Motive) oder sachliche Umstände (Vermögens- 
verhältnisse, Vertragsbeziehungen) unter diesen Begriff zu subsumieren.*‘* Sie 
bedürfen keiner weiteren Interpretation. Es kommt folglich nicht darauf an, wel- 
cher Sphäre die Daten entstammen.*® Sie müssen sich lediglich einer natürlichen 
Person wie dem Grundrechtsträger zuordnen lassen, entweder aufgrund ihres In- 
formationsgehalts (z.B. vollständiger Name) oder durch weitere Möglichkeiten 


der Identifikation (z.B. Aggregation, Aussonderung oder Kombination) .*%6 


Wenngleich die Schutzbedürftigkeit der Grundrechtsträgers nicht nur auf den 
Fortschritt der Informationstechnik zurückzuführen ist*°”, ist sich im Rahmen 
dieser Bearbeitung hauptsächlich dem Einfluss des digitalen Fortschritts auf die 
eingangs dargelegte Schutzrichtung zu widmen. Das einzelne Datum — oder die 
einzelne Information — als Teil der digitalen Identität stellt eine Aussage über 
persönliche Lebenssachverhalte dar, die vom Schutz des Grundrechts umfasst ist. 
Eine positive Ausübung der informationellen Selbstbestimmung unter Nutzung 


461 Vgl. zur Begrifflichkeit Oetker, NJW 1985, 345 (346). 

462 Rudolf in: Merten/Papier, HGr IV, $ 90, Rn. 30; Freimuth, Gewährleistung der IT-Sicherheit, 
S. 66 f. 

463 BVerfGE 65, 1 (42). 

464 Vgl. Klar/Kühling in: Kühling/Buchner, DSGVO, Art. 4 Nr. 1, Rn. 8; Art. 2 lit. a Datenschutz- 
RL 95/46/EG. 

465 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 19. Vgl. auch BVerfGE 65, 1 
(45) und E 120, 378 (399), wo von einer persönlichkeitsrechtlichen Einordnung anhand der 
Sensibilität des Datums Abstand genommen wird. 

466 BVerfGE 65, 1 (43 f); zur Aggregation insbesondere BVerfG, Beschluss vom 10.11.2020 — Az. 
1 BvR 3214/15 —, Rn. 71, 73. Vgl. auch Art. 4 Nr. 1 DSGVO. 

467 So Murswiek/Rixen in: Sachs, GG, Art. 2, Rn. 73, der die informationelle Selbstbestimmung 
auch in der Aktenführung und ähnlichen analogen Vorgängen zutreffend anerkennt. 
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einfachgesetzlich verbürgter Rechte ist ohne Hindernisse möglich. Dies müsste 
sich jedoch auch auf die digitale Identität als Ganzes übertragen lassen. Da- 
zu könnte sich zunächst der Idee des digitalen Persönlichkeitsrechts beliehen 
werden.*°® Auf Grundlage der Entwicklungsoffenheit des Allgemeinen Persön- 
lichkeitsrechts*® als gedanklich-historische Quelle sowie des Grundrechts auf 
informationelle Selbstbestimmung selbst“? sind die Aspekte der Selbstbewah- 
rung, Selbstdarstellung und Selbstbestimmung gegenüber neuen Technologien 
zu öffnen. Dies schließt gerade die neuen Formen der Datenverarbeitung und 
-speicherung ein, welche oftmals durch Fortschritt in Rechner-*’! oder Software- 
Architektur eingeleitet werden. Beispielhaft kann hier die ‚Wiederentdeckung“ der 
künstlichen Intelligenz genannt werden, die jüngst auch in Form von eigenständi- 
gen Hardware-Chips in Smartphones und anderen Geräten ihren Platz findet.*’? 
So führte der zunehmende Einsatz der künstlichen Intelligenz zur automatisierten 
Entscheidungsfindung zur Fassung des Art. 22 DSGVO.*?? Zum Zwecke dieser 
(automatisierten) Datenauswertung durch Hard- oder Software werden die Da- 
tensätze auf Muster überprüft und vorsortiert bzw. aufbereitet, sodass es sich 
potentiell auch bei diesen verknüpften und geordneten Daten um digitale Identi- 
täten handeln könnte. Jedoch, auch abseits dieser Art der Verarbeitung, steht die 
Profilbildung zur besseren Auffindbarkeit von Informationen im Fokus der Di- 
gitalisierung des informationellen Selbstbestimmungsrechts. Sind Informationen 
oder Daten nicht in einer für die Analyse bzw. Verarbeitung geeigneten Ordnung, 
steigt der Rechenaufwand in der Verarbeitung stark an — Soft- und Hardware 


468 Hierzu grundlegend Hoffmann et al., Die digitale Dimension der Grundrechte, S. 45 f. 

469 Siehe Fn. 449. 

470 BVerfGE 65, 1 (41 f): „moderne Informationsverarbeitungstechnologien‘“. 

471 Dies meint beispielsweise den Aufbau von Prozessoren oder den Entwurf von Komponenten 
wie Arbeitsspeicher und Platine/Mainboard. Im Detail siehe Hellmann, Rechnerarchitektur, S. 
4f. 

472 So beispielsweise Intel, die die Machine-Learning-Prozesse auf einen eigenständigen Prozes- 
sorkern auslagern - siehe nur https://newsroom.intel.com/editorials/intels-new-self-learning-c 
hip-promises-accelerate-artificial-intelligence/. 

473 Vgl. Scholz in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 22 DSGVO, 
Rn. 8 f, Buchner in: Kühling/Buchner, DSGVO, Art. 22 DSGVO, Rn. 1. 
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arbeiten ineffizient oder gar entgegen dem beabsichtigten Zweck.*’* Demgemäß 
sortieren zum Beispiel Suchmaschinen die von Webseiten Dritter erlangten Infor- 
mationen vor, um ein möglichst aufschluss- um umfangreiches Suchergebnis zu 
präsentieren.” Dabei kommt es regelmäßig vor, dass bei Eingabe eines vollstän- 
digen Namens ein „mehr oder weniger detailliertes Profil“ entsteht, das zahlreiche 
Aspekte des Privatlebens enthält und deren Ermittlung und Zusammenstellung 
ohne die Suchmaschine kaum oder nur schwer hätte erfolgen können.“ Die Ver- 
knüpfung einzelner personenbezogener Daten durch (private) Anbieter zu einem 
Profil ist daher von herausragender Bedeutung für das Persönlichkeitsrecht und die 
informationelle Selbstbestimmung*’’, ohne dass es einer künstlichen Intelligenz 
bedarf. Technischer Fortschritt und (verfassungsrechtlicher) Datenschutz stehen 
sich in diesem Punkt mithin gegenüber, verhalten sich vereinzelt konträr zuein- 
ander. Dieses Spannungsverhältnis ist erst durch die einzelfallbezogene Verhält- 
nismäßigkeitsprüfung aufzulösen, wodurch kollidierende Verfassungsgüter ein 
ein angemessenes Verhältnis gesetzt werden. Als Maßstab dient insbesondere das 
Machtgefälle zwischen Diensteanbieter und Nutzer. Die Privatsphäre des Nutzers, 
verfassungsrechtlich also jene Aussagen über Lebenssachverhalte mit Nähe zu Art. 
1 Abs. 1 GG, ist daher von entsprechendem Gewicht in der Abwägung.*’® Pau- 
schal kann nach der Rechtsprechung des EuGH?” gelten: Je mehr Informationen 
bzw. personenbezogene Daten zu einem Profil oder einer anderen datenbankähn- 
lichen Struktur zusammengeführt werden, desto sensibler und tiefgreifender ist 


474 Zur Schätzung der Komplexität von Algorithmen bei der Analyse und Verarbeitung von Daten 
einschließlich ihrer Strukturierung im Allgemeinen siehe Herold/Lurz/Wohlrab, Grundlagen 
der Informatik, S. 380 ff. 

475 Vgl. Dörr/Natt, ZUM 2014, 829 (835 f). 

476 EuGH, Urteil vom 13.05.2014, Az. C-131/12, Rn. 37 f; vgl. auch BVerfG, Beschluss vom 
6.11.2019 - Az. 1 BvR 16/13 —, Rn. 103, 139. 

477 EuGH, Urteil vom 13.05.2014, Az. C-131/12, Rn. 80; BVerfG, Beschluss vom 10.11.2020 — 
Az. 1 BvR 3214/15 —, Rn. 71, 73. 

478 EuGH, Urteil vom 13.05.2014, Az. C-131/12, Rn. 81. Vgl. auch Kamann/Braun in: Ehmann/ 
Selmayr, DSGVO, Art. 17, Rn. 8; Herbst in: Kühling/Buchner, DSGVO, Art. 17, Rn. 69 unter 
Verweis auf EuGH, Urteil vom 9.3.2017, Az. C-398/15 — Manni -, Rn. 60. Ausführliche 
Kriterien aufstellend Artikel 29-Datenschutzgruppe, WP 225, S. 12 ff. 

479 EuGH, Urteil vom 13.05.2014, Az. C-131/12, Rn. 37, 80; Urteil vom 21.12.2016, Az. C-203/15 
u.a., Rn. 99; Urteil vom 5.6.2018, Az. C-210/16, Rn. 33 ff. 
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der Eingriff in das Allgemeine Persönlichkeitsrecht*®® bzw. das Grundrecht auf 
informationelle Selbstbestimmung“*!. Um diesem Risiko der Verfeinerung der 
Datensätze gewahr zu werden, muss der Nutzer als „Herr über seine Daten“ auf 
den Verbleib einwirken können — unabhängig von einer Quantität oder Qualität 
des Datensatzes. Die Verknüpfung führt geradewegs dazu, dass bei Schutz des 
einzelnen personenbezogenen Datums erst recht auch die verknüpfte (digitale) 
Identität mit seinem Aussagegehalt auf Basis des Gehaltes der Einzeldaten dem 
verfassungsrechtlichen Schutz unterliegen muss. 


Ein weiterer Ansatzpunkt zu Gunsten der Anwendung des Grundrechts hinsicht- 
lich verknüpfter Datensammlungen iSv digitalen Identitäten findet sich im Kon- 
strukt der Datenportabilität. Entstanden ist dieses erst im Rahmen der Verhandlun- 
gen zur DSGVO ohne eine vorhergehende Entsprechung in der EU-Datenschutz- 
RL 95/46/EG. Dahinter verbirgt sich, wie Art. 20 Abs. 1, Abs.2 sowie Erwä- 
gungsgrund 68 der DSGVO näher erläutern, die Öffnung bestehender Dienste 
zu Austausch und Übertragung von personenbezogenen Daten. So sollen perso- 
nenbezogene Daten in einem „strukturierten, gängigen und maschinenlesbaren 


«482 entweder dem Nutzer bzw. der betroffenen Person*® selbst zur Ver- 


Format 
fügung gestellt werden (sog. indirekte Weitergabe) oder unmittelbar an einen 
anderen Diensteanbieter bzw. Verantwortlichen geleitet werden (sog. direkte Wei- 
tergabe).*°* Auf diese Weise soll die betroffene Person „eine bessere Kontrolle 
über die eigenen Daten haben“*®°. Der Fokus liegt damit deutlich auf der infor- 
mationellen Selbstbestimmung über den Verbleib der Daten, vorausgesetzt die 
vorangegangene Weitergabe der Daten erfolgte bewusst auf Basis einer Einwil- 


ligung oder eines Vertrages — vgl. Art. 20 Abs. 1 lit. a und b DSGVO. Eine 


480 Vgl. BVerfG, Beschluss vom 6.11.2019 - Az. 1 BvR 16/13 -, Rn. 121 ff. Jedoch trennt das 
BVerfG die Daten-Ebene der informationellen Selbstbestimmung vom Allgemeinen Persön- 
lichkeitsrecht — Rn. 91. 

481 BVerfG, Beschluss v. 10.11.2020 — Az. 1 BvR 3214/15 —, Rn. 96, 109. 

482 Art. 20 Abs. 1 DSGVO. 

483 Als solche gilt gem. Art. 4 Nr. 1 DSGVO jede Person, die Rechte bezüglich ihrer (personenbe- 
zogenen) Daten geltend macht. 

484 Zu den Arten der Weitergabe Kamann/Braun in: Ehmann/Selmayr, DSGVO, Art. 20, Rn. 1. 
Als Zweistufenmodell darstellend Strubel, ZD 2017, 355 (356). 

485  ErwGr 68, S. 1 DSGVO. 
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Förderung dieser Erweiterung der Selbstbestimmungsmöglichkeiten ergibt sich 
durch die obligatorische Formulierung der Norm, die durch die Durchsetzbarkeit 
bei Zuwiderhandeln gem. Art. 77, 79 DSGVO noch verstärkt wird.*8° Die daraus 


entstehende Zwangslage soll die Verantwortlichen dazu „motivieren“, interope- 


487 


rable Formate zu entwickeln?” oder bestehende Schnittstellen auch für ande- 


re Anbieter mit gängigen Formaten zur Verfügung zu stellen.*®® Die Wirkung 
der Norm entfaltet sich so nicht nur datenschutzrechtlich oder zu Gunsten der 
informationellen Selbstbestimmung, sondern weist auch eine wettbewerbs- und 


binnenmarktpolitische Zielsetzung auf.*?” Durch die Öffnung der Schnittstellen 


490 


sollen insbesondere sog. Lock-In-Effekte””" und eine marktbeherrschende Stel- 


491 


lung aufgelöst werden.” Schließlich würde so der Aufwand für einen Wechsel 


zwischen verschiedenen Anbietern (sog. Wechselkosten) verringert und mittelbar 


486 Vgl. Sperlich, DuD 2017, 377. Zu weiteren Möglichkeiten siehe Kamann/Braun in: Ehmann/ 
Selmayr, DSGVO, Art. 20, Rn. 46. 

487  ErwGr 68, S. 2 DSGVO sowie vgl. Sperlich, DuD 2017, 377. 

488 Zu letzterem sei angemerkt, dass ErwGr 68 S. 7 DSGVO auf eine Unterscheidung zwischen 
kompatiblen und interoperablen Datensystemen hinweist. Im Fokus der DSGVO steht damit das 
interoperable System, das die Datenübertragbarkeit in der Konzeption bereits berücksichtigt. 
Vgl. definiert ISO/IEC 2382-01 den Begriff als „The capability to communicate, execute pro- 
grams, or transfer data among various functional units in a manner that requires the user to have 
little or no knowledge of the unique characteristics of those units.“ Gegensätzlich gilt als Kom- 
patibilität „The capability of a functional unit to meet the requirements of a specified interface 
without appreciable modification.“ Folglich ist Art. 20 Abs. 1, Abs. 2 DSGVO ist so zu verste- 
hen, dass die Einrichtung von Dateisystemen, die bloß mit bestehenden Verarbeitungssystemen 
kompatibel sind, nicht ausreicht. Vielmehr bedarf es eines eigenen Standards, der wohlweislich 
von branchentypischen Faktoren beeinflusst wird — vgl. nur Artikel 29-Datenschutzgruppe, WP 
242 rev.01, S. 17. 

489 Scheinbar als vorwiegende Zielrichtung sehend Albrecht/Jotzo, Das neue Datenschutzrecht der 
EU, $ 4, Rn. 19; ähnlich als „möglicherweise überwiegend“ herausstellend Kamann/Braun in: 
Ehmann/Selmayr, DSGVO, Art. 20, Rn. 3. Darauf deutet ebenfalls Jülicher/Röttgen/von Schön- 
feld, ZD 2016, 358 (360) hin und verweist auf die Historie der Norm. Dagegen Herbst in: 
Kühling/Buchner, DSGVO, Art. 20, Rn. 4, welcher die datenschutzrechtliche Wirkung „allen- 
falls als Nebeneffekt“ einordnet. 

490 Zum Begriff siehe Conrad/Licht in: Auer-Reinsdorff/Conrad, Handbuch IT- und Datenschutz- 
recht, $ 39, Rn. 475 sowie zur Entstehung von Wechselkosten siehe Podszun/Schwalbe, NZKart 
2017, 98 (100). 

491 Strubel, ZD 2017, 355 (355, 359). 
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der Wettbewerb zwischen den Marktteilnehmern gefördert.*”” In der Materie des 
Verfassungsrechts kommt diese Wirkung der informationellen Selbstbestimmung 
gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG zugute, speziell für die digitale Identität: Be- 
ginnend bei der Terminologie des Instruments, verweist der Wortlaut des Art 20 
Abs. 1 DSGVO auf eine datenbankmäßige Struktur mehrerer personenbezogener 
Daten; die Daten sind strukturiert und maschinenlesbar.””? Die digitale Identität 
zeichnet gerade ihre Sortierung und Verkettung der (personenbezogenen) Daten 
aus.*”* Wird der Anspruch aus Art. 20 Abs. 1 DSGVO also geltend gemacht, 
erhält der Begehrende ein Abbild seiner digitalen (Teil-)Identität beim Anbieter 
und verfügt auf diese Weise über die Daten. Es handelt sich jedoch nur um ein 
Abbild, da das Recht auf Datenportabilität nur die (indirekte oder direkte) Weiter- 


gabe regelt.*” 


Es kann sich schon technisch nicht um „Originaldaten“ handeln, 
wenn Daten unbegrenzt vervielfältigt werden können. Das Löschungsrecht bleibt 
insofern bestehen und muss für einen vollständigen Anbieterwechsel ohne Daten- 
spuren eigenständig ausgeübt werden, Art. 20 Abs. 3 S. 1 DSGVO. Dies schadet 
allerdings nicht der informationellen Selbstbestimmung, sondern begünstigt sie 
durch die entstehende Wahlfreiheit.° Eine unmittelbare Kopplung von Wechsel 
und Löschung entspräche zwar dem Ansatz der Datenminimierung. Sodann würde 
allerdings nicht dem Willen des Betroffenen bzw. Dateninhabers entsprochen, der 
jedoch inherent im Mittelpunkt des Grundrechts auf informationelle Selbstbestim- 


mung steht. Zusammengefasst dienen die aufgezeigten Regelungen insbesondere, 


492 Vgl. Kamann/Braun in: Ehmann/Selmayr, DSGVO, Art. 20, Rn. 3; Albrecht/Jotzo, Das neue 
Datenschutzrecht der EU, $ 4, Rn. 20; Jülicher/Röttgen/von Schönfeld, ZD 2016, 358 (360); 
Artikel 29-Datenschutzgruppe, WP 242 rev.01, S. 5. 

493 Der Begriff „maschinenlesbar“ ist durch ErwGr 21 RL 2013/37/EU definiert: „Ein Dokument 
sollte als maschinenlesbar gelten, wenn es in einem Dateiformat vorliegt, das so strukturiert ist, 
dass Softwareanwendungen die konkreten Daten einfach identifizieren, erkennen und extrahie- 
ren können. In Dateien verschlüsselte Daten, die in maschinenlesbarem Format strukturiert sind, 
sind maschinenlesbare Daten. Maschinenlesbare Formate können offen oder geschützt sein; sie 
können einem formellen Standard entsprechen oder nicht. Dokumente, die in einem Dateifor- 
mat verschlüsselt sind, das eine automatische Verarbeitung einschränkt, weil die Daten nicht 
oder nicht ohne Weiteres aus ihnen extrahiert werden können, sollten nicht als maschinenlesbar 
gelten.“ 

494 Siehe hierzu die Definition in Kapitel B.1.4. 

495 Vgl. Jülicher/Röttgen/von Schönfeld, ZD 2016, 358 (360). 

496 Im Ergebnis so auch Jülicher/Röttgen/von Schönfeld, ZD 2016, 358 (360/361). 
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mit den Worten der Artikel-29-Datenschutzgruppe ausgedrückt, „[...] to empower 


data subjects regarding their own personal data [...]“.*?7 


Die aufgezeigten Ansätze können allerdings nur als Indizien gelten, da sich das 
Verfassungsrecht per se nicht aus dem einfachen Recht definiert. Vielmehr stellt 
das einfachgesetzliche Recht die Konkretisierung der verfassungsrechtlich ge- 
währten Spielräume dar. Es ist daher notwendig, die erwähnten Indizien auf den 
verfassungsrechtlichen Boden des informationellen Selbstbestimmungsrechts zu 
stellen, unter Einbeziehung der eingangs erwähnten Entwicklungsoffenheit des 
Grundrechts. Überdies ist das Grundrecht im Licht des Europarechts zu begrei- 
fen.“ Dies gebietet sich schon nach jüngster Rechtsprechung des Bundesverfas- 


sungsgerichts®”” 


, sofern der DSGVO aufgrund ihrer Regelungsform als Verord- 
nung ein vollharmonisierender Charakter zugesprochen wird’. Ob letzteres der 
Fall ist kann vorliegend jedoch dahingestellt bleiben, wo der unionsgrundrecht- 
liche wie verfassungsrechtliche Gehalt der Datenschutzgrundrechte weitgehend 
übereinstimmt°®'. Das Grundrecht auf informationelle Selbstbestimmung ist dem- 


gemäß um die Aspekte des Grundrechts auf Datenschutz gem. Art. 8 GrC sowie 


497 Artikel 29-Datenschutzgruppe, WP 242 rev.01, S.4- Hervorhebung im Original nicht enthalten. 
Ähnlich auch ErwGr 68, S. 1 DSGVO. 

498 Andernfalls käme es zu einer Kollision zwischen Verfassungsrecht und EUV/AEUV. Insofern 
ist die Auslegung auch zu Gunsten des Anwendungsvorrangs unionsrechtskonform vorzuneh- 
men - vgl. Ruffert in: Calliess/Ruffert, EUV/AEUV, Art. 1 AEUV, Rn. 24. 

499  Grundlegend BVerfG, Beschluss vom 6.11.2019 — Az. 1 BvR 276/17 —, Rn. 42 ff. Hierauf 
bezugnehmend BVerfG, Urteil vom 19.5.2020 — Az. 1 BvR 2835/17 —, Rn. 84 sowie Beschluss 
vom 27.5.2020 - Az. 1 BvR 1873/13 u.a. —, Rn. 83 ff. 

500 In der Literatur wird, ausgehend von der versuchten Harmonisierung der DS-RL 95/46/EG 
(siehe ErwGr 3 DSGVO) sowie ErwGr 10 DSGVO, insgesamt regelmäßig von einer Vollhar- 
monisierung ausgegangen — siehe nur Schantz in: Wolff/Brink, BeckOK DatenschutzR, Art. 
1 DSGVO, Rn. 8 f, wohl zweifelnd Buchner in: Kühling/Buchner, DSGVO, Art. 1, Rn. 5. In 
einzelnen Öffnungsklauseln der DSGVO besteht dagegen Uneinigkeit, wie beispielsweise für 
den Beschäftigtendatenschutz des Art. 88 DSGVO - exemplarisch zum Begriffsverständnis 
der „spezifischeren Vorschriften“ Maschmann in: Kühling/Buchner, DSGVO, Art. 88 DSGVO, 
Rn. 29 ff. Ob für die Betrachtungsweise des BVerfG dennoch eine punktuelle Betrachtung der 
Öffnungsklauseln und der konkrete Derogationsspielraum vorzunehmen ist, oder ob dies dem 
Ziel des gleichwertigen Schutzniveaus der DSGVO (vgl. ErwGr 10) zuwider ist, zeichnet sich 
bis zuletzt weder in Rechtsprechung noch Literatur ab. 

501 Vgl. Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 8 GRC, Rn. 12 ff, Knecht in: 
Schwarze, EU-Kommentar, Art. 8 GRC, Rn. 4 ff. Ebenso Roßnagel, NIJW 2019, 1 (2) unter 
Verweis auf Kingreen in: Calliess/Ruffert, EUV/AEUV, Art. 7 GrC, Rn. 4, 10. 
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das europäische Grundrecht auf informationelle Selbstbestimmung aus Art. 7, 
8 GrC’” zu erweitern.” So „mutiert“ das weit zu verstehende Grundrecht auf 
informationelle Selbstbestimmung mittels Europäisierung ebenfalls zum Daten- 
schutzgrundrecht.°0* Signifikante Merkmale der Ausübung der informationellen 
Selbstbestimmung sind schon durch den Wortlaut die Einwilligung und Zweck- 
bindung der Datenverarbeitung (Art. 8 Abs. 2 S. 1 GrC) sowie die erwähnten 
Berichtigungs- und Auskunftsansprüche (Art. 8 Abs. 2 S. 2 GrC) umfasst.°® 
Diese Erfordernisse an eine Datenverarbeitung wurden schon früh bei der Schöp- 
fung des Grundrechts auf informationelle Selbstbestimmung berücksichtigt und 
herausgestellt. Aus- und Verwertung eines Datums „hängen einerseits von dem 
Zweck, dem die Erhebung dient, und andererseits von den der Informations- 
technologie eigenen Verarbeitungsmöglichkeiten und Verknüpfungsmöglichkei- 
ten ab.““°° Dieser Verwendungszusammenhang determiniert bereits Informati- 
onsbeschaffung und -verarbeitung, einschließlich ihrer Intensität.” Verbunden 
mit dem Zweckerfordernis ist zugleich ein Mindestmaß an Transparenz, die im 
Rahmen der (informierten) Einwilligung über ebendiese Zwecke aufklärt. An- 
derenfalls wird „der Bürger nicht mehr wissen können, wer was wann und bei 


welcher Gelegenheit über [ihn] weiß‘208 


— die Souveränität der Entscheidung 
kann mit abnehmender Informiertheit bezweifelt werden. Mangelt es an einer 
— mittlerweile obligatorischen, vgl. Art. 12 Abs. 1 DSGVO - Aufklärung im 


Vorfeld, so muss dem Grundrechtsträger die Möglichkeit zur Einforderung der 


502 Roßnagel, NJW 2019, 1 (2); Klement in: Simitis/Hornung/Spiecker gen. Döh- 
mann, DSGVO/BDSG, Art. 7 DSGVO, Rn. 19; Marsch, Das europäische Datenschutzgrund- 
recht, S. 208 f. 

503 Zur europarechtsfreundlichen Lesart des Grundrechts auch Hufen, Staatsrecht II, $ 4, Rn. 11; 
Lenaerts, EuR 2012, 3 (14 f); Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 8 GrC, 
Rn. 4; von Grafenstein, The Principle of Purpose Limitation in Data Protection Laws, S. 111 
ff. 

504 Britz, EuGRZ 2009, 1 (5 f). 

505 Zu beiden Prinzipien ausführlich Marsch, Das europäische Datenschutzgrundrecht, S. 157-177. 

506 BVerfGE 65, 1 (45). Ferner zum Grundsatz der Offenheit der Erhebung und Nutzung perso- 
nenbezogener Daten BVerfGE 125, 260 (335/336). 

507 Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 2 I GG, Rn. 331. 

508 BVerfGE 65, 1 (43). 
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Informationen gegeben werden. Dies ist nicht zuletzt sinnvoll, um das im Ver- 
hältnis zwischen Privaten auftretende Ungleichgewicht’ bestmöglich aufzulö- 
sen und das liberale Menschenbild der Verfassung aufrechtzuerhalten; es be- 
günstigt die digitale Souveränität°!®. Mit der Konnexität von Zweckbindung und 
Informationstechnologie wird aber zugleich die Dynamik und Entwicklungsof- 
fenheit fest in die rechtliche Würdigung eingebunden. Sie muss nach dem weiten 


Begriffsverständnis®!! 


rens?!? umfangreich verstanden werden, also nicht nur im technologischen Sinne. 


auch zugunsten des bereichsdogmatischen Ausbalancie- 


Entwicklungsoffen bedeutet auch, dass neue Kommunikationsformen und -arten 
oder Trends im Sinne einer vorübergehenden Erscheinung geschützt sind. Ebenso 
müssen von der Grundrechtsnorm aktuelle Instrumente des Gesetzgebers umfasst 
sein, wenn diese dem Schutzzweck der informationellen Selbstbestimmung die- 
nen. Eine Öffnung von technischen Schnittstellen, die staatliche Normierung oder 
Gewährleistung sicherer Kommunikationsprotokolle über ein Audit oder Mög- 
lichkeiten der Regulierung eines datenschutzrechtlichen level playing field sind 
demgemäß als Konkretisierung zu sehen. Neben Zweckbindung und Transpa- 
renz tritt folglich die Entwicklungsoffenheit als Gradmesser der informationellen 


Selbstbestimmung. Darüber hinaus — so zumindest die Datenschutzkonferenz°'? 


509 Hierzu Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 21 GG, Rn. 345 f. 

510 Zum Begriff BITKOM, DuD 2018, 294 (296), jedoch ohne verfassungsrechtlichen bzw. juris- 
tischen Bezug. Dieser wird mittelbar durch Fox, DuD 2018, 271 und Beyerer/Müller-Quade/ 
Reussner, DuD 2018, 277 (278) aufgegriffen. So versteht Fox, DuD 2018 gerade Kompetenz 
und Verständnis eines „aufgeklärten“ Kunden hierunter, was mit dem (datenschutzrechtlichen) 
Konstrukt der informierten Einwilligung übereinstimmt. Spezifischer arbeiten Beyerer/Müller- 
Quade/Reussner Kriterien der Infrastruktur-, Daten-, Entscheidungs- und Plattformsouveränität 
heraus. Hackenjos/Mechler/Rill, DuD 2018, 286 (286 f) legen den Schwerpunkt dagegen in der 
IT-Sicherheit, um die Selbstbestimmtheit entsprechend technisch zu schützen. Dieser Ansatz 
wird durch den Beitrag von Broadnax et al. durch konkrete Vorschläge für Hard- und Software 
gestützt — Broadnax etal., DuD 2018, 74 (76 f). Der Beitrag von Lambach/Oppermann, Go- 
vernance 2022, 1 (6 ff) zeigt aber, dass der Begriff für verschiedene Narrative steht, von denen 
die datenschutzrechtliche Facette nur eine ist. 

511 Vgl. BVerfGE 65, 1 (41): „Die bisherigen Konkretisierungen durch die Rechtsprechung um- 
schreiben den Inhalt des Persönlichkeitsrechts nicht abschließend.“. 

512 Siehe C.MI.1. 

513  Datenschutzkonferenz des Bundes und der Länder, Das Standard-Datenschutzmodell (Version 
1.1), S. 17 — nicht mit in neuere Fassung übernommen. 
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— sind auch die Erforderlichkeit der Datenverarbeitung (einschließlich Daten- 
minimierung)°!*, der Grundsatz der Intervenierbarkeit?'® der Datenverarbeitung 


sowie die Sicherheit der Verarbeitungsvorgänge?'® 


auf das Volkszählungsurteil 
des Bundesverfassungsgerichts zurückzuführen. Jeweils nähren sie sich aus der 
verfassungsrechtlichen Selbstbestimmung des Art. 2 Abs. 1 iVm 1 Abs. 1 GG, 
forcieren die quantitative wie qualitative Entscheidungsfreiheit bzw. Souveränität 
des Individuums. Die Freiheit, im digitalen Raum „zu tun und zu lassen, was 


«517 


die Rechte anderer nicht verletzt und „in freier Selbstbestimmung als Glied 


518 zu handeln, ist 


einer freien Gesellschaft“ zum Schutz von Wert und Würde 
von hohem Wert. Ob digital oder analog, die Selbstbestimmung bezweckt als 
elementarer Bestandteil der freiheitlichen und demokratischen Gesellschaft ei- 
ne Stärkung des Gemeinwesens.°!” Umso mehr muss der verfassungsrechtliche 
Schutz auch Gefahren und Risiken neuer Arten der Datenverarbeitung abwehren. 
Ein anderes Verständnis wäre mit einer der Digitalisierung zeitgemäßen „Gesell- 
schaftsordnung und eine diese ermöglichende Rechtsordnung nicht vereinbar‘, 
sodass datenschutzrechtliche Prinzipien wie das Gebot der Zweckbindung sowie 
das Gebot der Bestimmtheit und Klarheit (bzw. Transparenz) in die Prüfung der 


Verhältnismäßigkeit i.e.S. Eingang gefunden haben°?!. 


514 Siehe nur BVerfGE 65, 1 (46), fortgeführt in E 125, 260 (333). 

515 Wohl in BVerfGE 65, 1 (42 f), wenn in „wann und innerhalb welcher Grenzen“ sowie die 
darauffolgenden Ausführungen zur Selbstbestimmung auch die Kehrseite der Einwilligung — 
der Widerruf - hineingelesen wird. 

516 Wohl in BVerfGE 65, 1 (49): „Zur Sicherung des Rechts auf informationelle Selbstbestimmung 
bedarf es ferner besonderer Vorkehrungen für Durchführung und Organisation der Datenerhe- 
bung und Datenverarbeitungl...].“ Möglicherweise besteht in dieser Hinsicht auch ein Schutz 
durch das Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme, wie 
unter D.Il.4. vertiefter erörtert wird. 

517 Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2 I, Rn. 13 unter Verweis auf den Entwurfstext 
des Art. 2 Abs. 1 GG. 

518 BVerfGE 65, 1 (41). 

519 Giesen, JZ 2007, 918 (921 f). 

520 Vgl. BVerfGE 65, 1 (43). 

521 BVerfG, Beschluss v. 27.5.2020 - Az. 1 BvR 1873/13 —, Rn. 127 ff. 
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Hohe Risiken für das Grundrecht ergeben sich allerdings auch aus dem Umgang 
mit sog. Identitätsdatenleaks und Übergriffe von Seiten Privater. Sind umfäng- 
liche, vollständige Datensätze mit Identitätsdaten öffentlich und im Klartext im 
Internet einsehbar, geht damit sowohl ein entsprechendes Missbrauchspotential 
als auch eine daraus resultierende Gefahr für Grundrechtsgüter einher. Insofern 
sei zuletzt bezüglich der Öffnung der informationellen Selbstbestimmung für den 
Schutz der digitalen Identität die in diesem Fall be- und entstehende grundrecht- 
liche Schutzpflicht herauszustellen.°”? Ausgangspunkt hierfür ist das nicht mehr 
nur das Gefahrenpotential, sondern die faktische Beeinträchtigung — wie sich an 
den seit dem Jahr 2018 vermeldeten Identitätsdatendiebstählen erkennen lässt: 
500 000 Nutzerkonten bei einem Online-Rollenspiel?, Datensätze von etwa 124 
000 Hotelgästen®?* zuzüglich der Daten von 500 Millionen Hotelgäste der Mariott- 
Hotelkette”, der Kundendatensatz des Domain-Anbieters DomainFactory” 26 und 
1,9 Millionen Passwörter wurden im Klartext veröffentlicht”. Besonders gravie- 
rend war der Datendiebstahl von sog. Access Token?”® bei Facebook, der etwa 50 
Millionen Nutzer betrifft,’ sowie die Offenlegung von 419 Millionen Mobiltele- 
fonnummern mit dazugehörigen Profilidentifikationsnummern’?®. Die Liste lässt 


522 Zu den Kriterien der Schutzpflichtenprüfung siehe Kapitel C.IIL1. 

523 Siehe https://www.heise.de/security/meldung/Datenleck-bei-Mortal-Online-Kriminelle-boten 
-500-000-Nutzeraccounts-zum-Kauf-an-4154668.html. 

524 Siehe https://www.heise.de/security/meldung/Datenleck-bei-FastBooking-Hacker-klauen-Da 
ten- von-ueber- 124-000-Hotelgaesten-4093080.html. 

525 Siehe https://www.heise.de/security/meldung/Marriott- Daten- von-500-Millionen-Hotelgaest 
en-abgegriffen-4236576.html. 

526 Siehe https://www.heise.de/newsticker/meldung/Datenleck-bei-Domainfactory-Hacker-knack 
t-Systeme-laesst-Kundendaten-mitgehen-4102881.html. 

527 Siehe https://netzpolitik.org/20 18/jugendgefaehrdend-millionen-passwoerter-von-knuddels-d 
e-standen-offen-im-netz/. 

528 Ein Access Token wird erstellt, wenn der Nutzer sich durch ein Programm (z.B. eine 
Drittanbieter-App) bei einem Dienst anmeldet. Der Token dient dann als Zertifikat, welches In- 
formationen zur (positiven) Berechtigung der Dienstenutzung enthält. Je nach Programmierung 
enthält der Token auch die Login-Daten, also Benutzername und Passwort. Vertiefend hierzu 
siehe Eckert, IT-Sicherheit, S. 702 f sowie zum OAuth-Verfahren Perrlic/Sorge, Datenschutz, 
72/73. 

529 Siehe _ https://www.heise.de/newsticker/meldung/Fast-50-Millionen-Facebook-Nutzer-von 
-Hacker- Angriff-betroffen-4178529.html. 

530 Siehe https://netzpolitik.org/2019/419-millionen-betroffene-datenleck-bei-facebook- gab-han 
dynummern-preis/. 
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sich nahezu unendlich fortführen, z.B. mit dem Leak bzw. Doxing von Login- 
Daten und weiteren privaten Daten von Prominenten und Bundestagsabgeordne- 
ten durch den Hacker „g0d“ bzw. „Orbiter“! und den umfangreichen Datenleak 
der Collection 1 bis 5, welcher 2,2 Milliarden Accounts umfasst”-. Grundsätzlich 
enthalten diese Datensammlungen nicht nur um bloße Login-Daten, sondern unter 


533 oder Informa- 


Umständen detailreiche Datensätze mit Bank- und Adressdaten 
tionen zur sexuellen Identität und anderen besonderen personenbezogenen Daten 
iSd Art. 9 Abs. 1 DSGVO. Es ist also von einem hohen Schadensumfang auszuge- 
hen, da bei derartig reichhaltigen Datensätzen auch Fälle des Identitätsdiebstahls 
auftreten. Allerdings dürfen den Betroffenen bei solchen Vorfällen keine Maß- 


nahmen zum Selbstschutz’>* 


entgegengehalten werden, um die grundrechtliche 
Schutzbedürftigkeit zu mindern oder erst zu aktivieren. Die Schwelle ist für tech- 
nische Sicherheitsmaßnahmen zum Selbstdatenschutz nicht hoch anzusetzen, so- 
dass Expertenkenntnisse wie das Einrichten und Nutzen von VPN-Verbindungen 
oder abseits der vom Betriebssystem vorgehaltenen Verschlüsselungstechniken 
nicht erwartet werden können. Ähnlich kritisch zu beobachten ist die Notwendig- 
keit, die eigenen Daten durch die Angabe von sog. Fake-Daten - also durch bewusst 
falsche Angaben - zu schützen.” Stattdessen sollten neben einem Bewusstsein 
für den Umgang oder die Weitergabe von Daten die bekannten Hinweise für die 
Nutzung von Passwörtern oder zur sicheren Kommunikation über das Internet°°° 
beachtet werden. Eine entsprechende Sensibilisierung kann sowohl durch die Da- 
tenschutzbehörden (Art. 57 Abs. 1 lit. b DSGVO) als auch den Diensteanbieter 


erfolgen, der bereits zum Ermöglichen einer datensparsamen und — wenn möglich 


531 Siehe nur https://www.heise.de/newsticker/meldung/Massen-Doxxing-Beschuldigter-soll-Pa 
sswoerter-teilweise-im-Darknet-gekauft-haben-4270379.html. 

532 Siehe https://www.heise.de/security/meldung/Neue-Passwort-Leaks-Insgesamt-2-2-Milliard 
en-Accounts-betroffen-4287538.html. 

533 Siehe beispielsweise die Auflistung der im DomainFactory-Leak enthaltenen Daten unter 
https://www.heise.de/forum/heise-online/News- Kommentare/Datenleck-bei-Domainfactor 
y-Hacker-knackt-Systeme-laesst- Kundendaten-mitgehen/Folgende-Datenfelder-waren-in-d 
er-DB/posting-326650 13/show/. 

534 Einige Ansätze einschließlich der Verwendung von Leak Checkern aufzeigend Eikenberg, c’t5 
(2019), 32 ff. 

535 Hierzu ausführlich Schnabel/Freund, CR 2010, 718 ff. 

536 Beispielsweise Karaboga et al., White Paper Selbstdatenschutz, S. 20 ff. 
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— pseudonymen Nutzbarkeit des Angebots angehalten ist (Art. 25 Abs. 1,32 Abs. 1 
DSGVO). Umfangreiche Identitätsdatendiebstähle sowie Leaks der Datensätze 
sind zudem oftmals nicht auf das Verschulden der Nutzer, sondern auf technische 
Mängel oder unzureichende Schutzmaßnahmen des Diensteanbieters zurückzu- 
führen. Selbst effektivste Maßnahmen zum Selbstschutz können die Mängel in der 
technischen Infrastruktur nicht beheben.’ Einer Schutzbedürftigkeit der Nutzer 
steht daher nichts in diesem Dreiecksverhältnis entgegen. Demgemäß besteht ei- 
ne Gefährdung grundrechtlicher Interessen vonseiten Privater, die aufgrund ihrer 
Schadensqualität ein Handeln des Staates notwendig erscheinen lässt; eine Schutz- 
pflicht aus dem Grundrecht auf informationelle Selbstbestimmung liegt vor. Der 
Erfüllung dieser Pflicht ist der Gesetzgeber aber bereits nachgekommen, sowohl 
präventiv als auch repressiv. Letzteres kann auf die Straftatbestände gem. $$ 202a 
ff StGB, insbesondere der Datenhehlerei, und den (Identitäts-)Betrug gem. $ 262 
Abs. 1 StGB gestützt werden. Einer Ausweitung des Missbrauchsrisikos rechts- 
widrig erlangter Identitätsdaten wirken die erst jüngst erlassenen Meldepflichten 
für verantwortliche Unternehmen sowohl an die zuständige Datenschutzbehörde 
(Art. 33 DSGVO) als auch die betroffene Person (Art. 34 DSGVO) entgegen. In 
umfangreichen Fällen kann allerdings auch auf eine Information durch öffentliche 
Bekanntmachung erfolgen, also Meldung über weit verbreitete Medienangebote 
wie Rundfunk oder Online-Presse.””® Darüber hinaus gelten besondere Melde- 
pflichten für digitale Dienste ($ 8c Abs. 3 S. 1 BSI-G) und kritische Infrastrukturen 
($ 8b Abs. 4 BSI-G) iSd $ 2 Abs. 10, 11 BSI-G. Dies befreit den Gesetzgeber 
jedoch nicht von der stetigen Aufgabe im Rahmen der grundrechtlichen Schutz- 
pflichten, diese auch fortwährend zu überwachen und bei mangelhafter Wirkung 
entsprechend nachzubessern. 


In der Gesamtschau spricht eine Vielzahl der Argumente für eine Einordnung 
der digitalen Identität in den Schutzbereich des Grundrechts auf informationelle 
Selbstbestimmung. Würde gegensätzlich und so entgegen der prädestinierten Ent- 
wicklungsoffenheit der informationellen Selbstbestimmung argumentiert, dann 


537 Vgl. auch BVerfGE 120, 274 (306); Hoffmann-Riem, JZ 2008, 1009 (1016). 
538 Brink in: Wolff/Brink, BeckOK DatenschutzR, Art. 34, Rn. 40-43. 


123 


D. Konkrete Schutzaspekte kraft Verfassungsrecht 


bestünde eine Schutzlücke, die sodann zur Lücke in der Überwachungs- und Ver- 
hütungspflicht des Staates vor Gefahren für digitale Identitäten erwächst. Diese 
Annahme widerspricht schlussendlich der beabsichtigten subsidiären Funktion 
des Grundrechts, das für moderne Entwicklungen und die mit ihnen verbundenen 
neuen Gefahren für die menschliche Persönlichkeit offen formuliert ist”°. Damit 
ändert sich im Grundsatz nichts am verfassungsrechtlichen Schutz der digitalen 
Identität aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG. 


bb) Varianten der digitalen Identität Der nun eröffnete und prima facie 
anwendbare Schutzbereich erfordert anhand der in Kapitel B.I. aufgezeigten Be- 
griffsklärung eine differenzierte Betrachtung — daher nur „prima“ facie. Umfang 
und Einzelheiten des Schutzes hängen von folgenden Parametern ab: Zunächst 
können die digitalen Identitäten auf „echten“ Daten basieren oder mittels Synthese 
in künstlicher Form vorliegen. Ähnlich künstlich, da nicht unmittelbar oder (stets) 
zuordenbar, müssen digitale Identitäten aus Klardaten und aus pseudonymisierten 
und anonymisierten Datensätzen differenziert betrachtet werden. Schlussendlich 
kommt der Informiertheit über das Vorhandensein einer digitalen Identität eine 
vertiefende Betrachtung zu. 


(1) Synthetisierte Datensätze Zuvorderst ist sich der Nutzung von digi- 
talen Identitäten zur Generierung von sog. synthetisierten Daten zu widmen. So 
werden künstliche Datensätze als Resultat von Verfahren bezeichnet, die „echte“ 
Daten durch fiktive Werte ersetzen, um Statistiken auf Basis personenbezogener 
Daten möglichst datenschutzkonform zu ermöglichen.*? Dazu werden von einem 
bestimmten Datensatz Stichproben erhoben und auf eine Struktur oder ein Ver- 
hältnis der einzelnen Daten zueinander analysiert. Das erkannte Muster wird dann 
im Ergebnis beibehalten, jedoch werden sämtliche personenbezogenen Daten — 


539 BVerfGE 65, 1 (41). 

540  Beispielhaft seien an dieser Stelle nur das Paper von Nettleton, Social Network Analysis and 
Mining 2016, Article 44 zur Generierung von Social-Network-Statistiken und die Ausführun- 
gen von Abdollahpouril/Qavami/Moradi, Multimedia Tools and Applications 2018, 8475 zur 
Erzeugung von Nutzungs- und Verhaltensprofilen bei IPTV. 
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insbesondere sensible Daten, vgl. Art. 9 Abs. 1 DSGVO - entfernt und durch 
künstliche Werte ersetzt.”*' Grundvoraussetzung dieser Modelle der Datensyn- 
these sind daher stets die Abbildbarkeit des Originaldatensatzes und das Ersetzen 
durch geeignete künstliche Werte.* Bei der Verarbeitung der Daten bestehen 
verschiedene Ansätze, beispielsweise auch der Einsatz von Machine-Learning- 
Algorithmen und Deep Learning zur automatisierten Mustererkennung.” 


Es erscheint daher nicht fernliegend, im Falle der besonderen Verarbeitungssitua- 
tion für diese Prozesse auch geltendes Datenschutzrecht einzubeziehen und eine 
notwendige Disponibilität aufseiten des Grundrechtsträgers anzunehmen. Dies 
muss zumindest bis zum Zeitpunkt gelten, wenn der künstliche Datensatz durch 
einen Ersetzungsalgorithmus erstellt wird und so eine automatisierte Entschei- 
dung im Rahmen der Mustererkennung entsteht (vgl. Art. 22 Abs. 1 DSGVO). 
Die Entscheidung selbst entfaltet gegenüber den Datensubjekt auch eine rechtli- 
che Wirkung, da das Datum durch die Ersetzung und Übertragung des abstrakten 
Aussagegehaltes dem Rechtskreis des Datensubjekts qua automatisierter Verarbei- 
tung entzogen wird. Die Erhebung für den Originaldatensatz muss daher sowohl 
nach verfassungsrechtlichen Grundsätzen als auch geltendem Datenschutzrecht 
(Art. 22 Abs. 2 lit. a und c DSGVO) mitgeteilt werden. Gleiches gilt für die wei- 
tere Verarbeitung und den Verbleib der Daten nach Erstellen des synthetischen 
Datensatzes, die aufgrund des (verfassungsrechtlichen) Transparenzerfordernisses 
geboten ist. Im Wege der Ersetzung durch fiktive Angaben über Lebenssachver- 
halte ohne signifikante Einwirkung auf das Endergebnis kann es aber gelingen, 
anonyme bzw. anonymisierte und dennoch verwertbare Datensätze zu erhalten. 
Die Eigenschaft der Anonymität tritt schon dann ein, wenn personifizierende bzw. 
identifizierende Merkmale hinreichend ersetzt wurden und dies nicht wieder rück- 
gängig zu machen ist.°** Mithin wird diese Art der Anonymisierung (scheinbar) 


541 Zum Vorgang im Einzelnen siehe Drechsler/Jentzsch, Synthetische Daten, S. 7 ff; Raji, DuD 
2021, 303 (305 ff). 

542  Drechsler/Jentzsch, Synthetische Daten, S. 10 f. 

543  Drechsler/Jentzsch, Synthetische Daten, S. 11 f. 

544 Drechsler/Jentzsch, Synthetische Daten, S. 19; Raji, DuD 2021, 303 (306 f). Ausführlicher in 
Kapitel D.I.1.b)bb)(2). 
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kaum durch eine Verknüpfung mit anderen synthetisierten Datensätzen oder öf- 
fentlich verfügbaren Daten aufzulösen sein. Gerade weil Merkmale fehlen, die 
eine Einzigartigkeit begünstigen und der Datensatz nur noch auf für die Statistik 
notwendigen Angaben ausgedünnt wird, sinkt das Risiko, synthetische Daten mit 
anderen Daten verknüpfen zu können, erheblich — sie entsprechen letztlich anony- 
men Daten.’ Der Vorgang der Datensynthese ist daher zunächst als wirksames 
Mittel anzusehen, Datenschutz in Forschung und Entwicklung bei der Auswer- 
tung von Statistiken zu gewährleisten. Eine Loslösung des Personenbezugs führt 
jedoch zwangsläufig dazu, wenngleich sie auf personenbezogenen Daten basieren, 
dass die Datensätze nicht mehr Gegenstand des (verfassungsrechtlichen) Daten- 


schutzrechts sind.”*® 


Konsequent könnte daher auch angenommen werden, dass die digitale Identität 
nach einer Synthese ebenfalls aus dem datenschutzrechtlichen Rahmen fällt. Da- 
für spricht eindeutig, dass der Vorgang den Personenbezug auflöst — mithin auch 
das persönlichkeitsrechtliche Moment des Art. 2 Abs. 1 iVm 1 Abs. 1 GG ent- 
fällt. Ein Risiko, die Selbstbestimmung und Selbstbewahrung könnte durch die 
Offenlegung der syntethisierten digitalen Identitäten gefährdet werden, besteht 
schlichtweg nicht. Gegen die aufgeworfene These spricht allerdings, dass es für 
den Begriff der digitalen Identität nach hiesigem Verständnis”*’ schon nicht auf 
den Personenbezug ankommt. Er dient vielmehr als allgemeiner Maßstab für die 
Risiko- und Schutzhöhe. Dies ist zum einen im technischen Begriff begründet, 
fußt aber weiterhin auf der Auffangwirkung des Grundrechts auf informationelle 
Selbstbestimmung. Insofern schließt das Bundesverfassungsgericht zwar prima 
facie andere Daten abseits von personenbezogenen Daten definitorisch aus, be- 
zieht mithin nur persönliche und sachliche Angaben über eine Person ein.” 
Andererseits stellt es fest, dass ein Datum durch Verknüpfung und Verarbeitung 


545 So auch Drechsler/Jentzsch, Synthetische Daten, S. 19 f; Raji, DuD 2021, 303 (307). Vgl. auch 
Hammer in: Jandt/Steidle, Datenschutz im Internet, B.IV., Rn. 288; Hammer/Knopp, DuD 
2015, 503 (506 f). 

546 Vgl. zur Anwendbarkeit der Datenportabilität auf Rückschlüsse aus personenbezogenen Daten 
Artikel 29-Datenschutzgruppe, WP 242 rev.01, S. 10 f. 

547 Im Detail sub B.I. 

548 BVerfGE 65, 1 (42). 
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auch erst personenbezogen werden kann: „Dadurch kann ein für sich gesehen 
belangloses Datum einen neuen Stellenwert bekommen; insoweit gibt es unter 
den Bedingungen der automatischen Datenverarbeitung kein ‚belangloses‘ Datum 
mehr.“°* Dies meint jedoch gerade nicht anonymisierte wie pseudonymisierte 
Daten, sondern vielmehr Informationen über persönliche oder sachliche Verhält- 
nisse, die bis dato keinen Stellenwert hatten. Beispielsweise erscheint der Fakt, 
dass ein bestimmtes Produkt mehrfach von einer Person in einem Geschäft aus 
dem Regal genommen und begutachtet wurde, nutzlos. Übertragen in das digitale 
Zeitalter und auf Online-Shops entsteht aber ein besonderes Interesse an dieser 
Information, da sie für Werbezwecke genutzt werden könnte.” Qua (verfassungs- 
gerichtlicher) Definition bezieht sich das Grundrecht also nur auf mittelbar oder 
unmittelbar personenbezogene Daten. 


Folglich ergibt sich kein Schutz für synthetisierte digitale Identitäten durch das 
Grundrecht auf informationelle Selbstbestimmung. Der Schutz endet mit der Ent- 
fernung von Merkmalen, die einen Personenbezug zulassen bzw. eine entspre- 
chende Nähe zur Persönlichkeit iSd Art. 2 Abs. 1 iVm 1 Abs. 1 GG aufweisen. 
Dennoch bleibt (sogleich) zu bedenken, dass die Anonymisierung aufgrund des 
technischen Fortschritts und der Kombinationsmöglichkeiten nicht stets vor der 
Anwendung des Datenschutzrechts schützt, sondern ganz im Sinne des relativen 
Personenbezugs stets (wieder) zu einem personenbezogenen Datum werden kann. 
Dies gilt auch im Fall synthetischer Datensätze, wenn die Synthetisierung der An- 
onymisierung einheitlicher Datensätze dient und/oder sich die Auflösbarkeit der 
Anonymisierung durch Synthetisierung ankündigt.°>' Durch die Anonymisierung 
mittels Datensynthese können aus diversen Datensätzen neue digitale Identitä- 
ten gewonnen werden, sofern sie ausreichenden strukturellen wie inhaltlichen 


549 BVerfGE 65, 1 (45). 

550 Dazu hat sich insbesondere das Nudging auf vielerlei Weise etabliert, z.B. indem das Produkt 
durch personalisierte Werbung gesondert beworben wird. Diese und weitere Situationen aufzei- 
gend Venzke-Caprarese, DuD 2017, 577 (577); Obergfell, ZLR 2017, 290 (293) zur individua- 
lisierten Preisbildung. Zur Thematik im Privacy-Kontext siehe nur Kapsner/Sandfuchs, Review 
of Philosophy and Psychology 2015. 

551 Zur Rückführbarkeit des Personenbezuges ausführlich Stadler/Oprisanu/Troncoso, Synthetic 
Data — Anonymisation Groundhog Day, S. 7 f sowie von Maltzan, IOTBDS 2022, 215 ff. 


127 


D. Konkrete Schutzaspekte kraft Verfassungsrecht 


Aussagegehalt aufweisen. Diese ähneln aber wegen ihres uneindeutigen Persön- 
lichkeitsbezugs und der Rekombination verschiedener Identitäten jedoch fiktiven 
Identitäten und haben, soweit sie keine „eigene Persönlichkeit“ darstellen, kein 
Anrecht auf grundrechtlichen Schutz — weder zugunsten des Erstellers dieser 
synthetisierten digitalen Identitäten noch zugunsten des ursprünglichen Identi- 
tätsinhabers. Im Ergebnis entsprechen sie der idealen Typik anonymer Daten, 
soweit die verwendeten Synthetisierungsmaßnahmen nicht derart angreifbar sind, 
dass das Risiko der Auflösung der Anonymisierung merklich ansteigt. 


(2) Anonymität und Pseudonymisierung: Das Kriterium des Per- 
sonenbezugs In Anbetracht dieser Schlussfolgerung erscheint es überaus 
fraglich, einen verfassungsrechtlichen Schutz einer pseudonymen oder anonymi- 
sierten digitalen Identität anzunehmen. Infolgedessen bleibt auch dies vertieft zu 
überprüfen, unter Bezugnahme auf die im Datenschutzrecht geführte Diskussion 
über den Personenbezug des Datums. 


Folglich ist die unter B.1.3.c) begonnene Diskussion aufzugreifen. Der Personen- 
bezug eines Datums und jener der digitalen Identität sind aufgrund des gemeinsa- 
men Kerns, dem Datum, unvermeidbar miteinander verknüpft und wirken sich ent- 
sprechend auf die Betrachtung aus. Eine stets strenge, differenzierte Einordnung 
ist jedoch kaum möglich, da ein Datum je nach Kontext, Verwendungszweck oder 
Vergleichsobjekt zu einem anderen Personenbezug führt. Beispielsweise kann er 
sich erst aus dem Zweck oder Ergebnis einer Datenverarbeitung ergeben.°>? Die 


552 Zu denken wäre hier an digitale Identitäten, die als Kunstfigur dennoch grundrechtlichen Schutz 
erhalten, also Art. 5 Abs. 3 S. 1 Alt. 1 GG zugeordnet werden können. Einfachgesetzlich könnte 
für solche Fälle möglicherweise das Urheberrecht herangezogen werden, wenn sich die künst- 
lerischen Aspekte der digitalen Identität gerade durch Werke des Urheberrechts (Schriftwerke, 
Bildwerke) besonders äußern. Hierzu fehlt es bislang an weiterer rechtswissenschaftlicher Aus- 
einandersetzung. 

553 Artikel 29-Datenschutzgruppe, Opinion 4/2007 on the concept of personal data, S. 10 f; Klabun- 
de in: Ehmann/Selmayr, DSGVO, Art. 4, Rn. 10 unter Bezug auf EuGH, Urteil vom 20.12.2017, 
Az. C-434/16 — Nowak. 
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Begriffe des Personenbezuges (vollständige Identifizierbarkeit), der Pseudonymi- 


tät (Identifizierbarkeit in Abhängigkeit der Sichtweise)” 


)>>5 


und der Anonymität 
(keine Identifizerbarkeit)”> gehen fließend ineinander über.” Ihre Bestimmung 
kann daher nur relativ erfolgen, unter Einbeziehung aller einer Person zugäng- 
licher und ihrem Ermessen nach wahrscheinlich zur Identifizierung genutzter 
Mittel.°°” Zur Ermittlung der Wahrscheinlichkeit einer Identifikation durch die- 
se Mittel ist ein objektiver Maßstab zu wählen.°°® Ist der Übergang zwischen 
den Sphären der Identifikation aufgrund technischer oder physischer Vorkeh- 
rungen nicht möglich, liegt die sog. Unverkettbarkeit (auch: Nichtverkettbarkeit 
oder Unverknüpfbarkeit) vor. Dieses Prinzip ist durch die Datenschutzkonferenz 
in die Schutzziele des Standarddatenschutzmodells aufgenommen worden und 
stellt sowohl eine Konkretisierung der Zweckbindung als auch der Datenminimie- 
rung dar.” Der fast unmöglichen Trennung der Arten des Personenbezugs ist 
durch die Erreichung dieses Datenschutzziels zu begegnen, insbesondere durch 
die technischen Vorsichtsmaßnahmen. Zwar dienen Pseudonymisierung und An- 
onymisierung selbst dazu, die Unverkettbarkeit aufrecht zu erhalten. Um aber einer 
erneuten Verkettbarkeit vorzubeugen, bedarf es weiterer Schritte wie einer geson- 
derten Verwaltung der Datensätze bzw. digitalen Identitäten. Eine Veränderung 
der Daten und damit des Inhalts der digitalen Identität sowie das Anonymisieren 


554 Zum Begriff Art. 4 Nr. 5 DSGVO sowie vgl. $ 3 Abs. 6a BDSG a.F.; Petrlic/Sorge, Datenschutz, 
S. 13/14; Hansen/ Walczak, RDV 2019, 53 (53 f). 

555 Zum Begriff nur oberflächlich ErwGr 26 S. 5 DSGVO sowie vgl. § 3 Abs. 6 BDSG a.F.; Klabun- 
de in: Ehmann/Selmayr, DSGVO, Art. 4, Rn. 20; Klar/Kühling in: Kühling/Buchner, DSGVO, 
Art. 4 Nr. 1, Rn. 31 f, Perrlic/Sorge, Datenschutz, S. 12/13. Ausführlich zum Verfahren Ham- 
mer in: Jandt/Steidle, Datenschutz im Internet, B.IV., Rn. 287 ff. 

556 Zu weiteren Sub-Kategorien auch Roßnagel in: Roßnagel, Handbuch Datenschutzrecht, Kap. 
3.4, Rn. 61 f. 

557 So ErwGr 26 S. 3 DSGVO, beruhend auf EuGH, Urteil vom 19.10.2016, Az. C582/14 — Brey- 
er —, Rn. 49. Vgl. auch EuGH, Urteil vom 20.12.2017, Az. C-434/16 — Nowak -, Rn. 31 ff. 
Infolgedessen scheint der relative Ansatz vorherrschend, wenngleich sich die deutschen Ge- 
richte bislang nicht explizit hierzu geäußert haben. Hierzu im Detail Klar/Kühling in: Kühling/ 
Buchner, DSGVO, Art. 4 Nr. 1, Rn. 25 ff; Herbst, NVwZ 2016, 902 (903 ff, 905). 

558 ErwGr 26 S. 4 DSGVO. Vertiefend auch Hofmann/Johannes, ZD 2017, 221 (224). 

559  Datenschutzkonferenz des Bundes und der Länder, Das Standard-Datenschutzmodell (Version 
1.1), S. 15 f, 20 sowie Datenschutzkonferenz des Bundes und der Länder, Das Standard- 
Datenschutzmodell (Version 2.0b), S. 27; Petrlic/Sorge, Datenschutz, S. 14. Hierfür ebenfalls 
sprechend Roßnagel, ZD 2018, 339 (341). 
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und Pseudonymisieren der gesamten digitalen Identität als datenschutzrechtliche 
Verarbeitung könnte allerdings zu einer Veränderung im verfassungsrechtlichen 
Schutz führen — sowohl auf Ebene des Schutzbereichs als auch hinsichtlich der 
Verhältnismäßigkeitsprüfung. 


Der Schutzbereich der informationellen Selbstbestimmung umfasst, wie ausge- 
führt, jedes Datum mit Personenbezug. Nach den hiesigen Ausführungen zäh- 
len dazu grundsätzlich auch verknüpfte Datenbestände wie die digitale Identität. 
Häufig wird sie im Verhältnis zwischen Nutzern jedoch nicht unmittelbar per- 
sonenbeziehbar benutzt, sondern mittels Kennung wie einem selbst gewählten 
Benutzernamen. Damit ähnelt die Kennung bzw. das Pseudonym gewissermaßen 
einer Maske, hinter die lediglich der Anbieter der Plattform — also der Verwalter 
der digitalen Identitäten — blicken kann. Der Personenbezug ist somit in sei- 
ner Qualität nur teilweise vorhanden: Nutzer von Pseudonymen auf „gleicher 
Ebene“ können häufig keine Verknüpfung zwischen Pseudonym und Orthonym 
herstellen, während — sofern vorhanden — der Diensteanbieter bei direkten bzw. 
„sprechenden“ Angaben (Name als Teil der Mailadresse, Adresse, etc.) oder durch 
die Möglichkeit eines Informations- oder Auskunftsanspruchs (z.B. $ 101 Abs. 9 
UrhG; $ 14 Abs. 3-5 TMG a.F. bzw. $ 21 Abs. 1 TTDSG iVm $ 24 Abs. 1 
Nr. 2 BDSG) eine Verknüpfung herstellen kann.’°! Überdies muss sie nicht auf 
den Namen referenzieren und infolgedessen identifizierend sein; eine Individua- 
lisierung mittels Verknüpfung mehrerer Aussagen über eine Person reicht aus.°°? 
Die Konstellation der einseitigen Zuordnung (z.B. beim Verantwortlichen oder 


560 Siehe D.I.1.b). 

561 Derart differenzierend Roßnagel/Scholz, MMR 2000, 721 (727) sowie Roßnagel, ZD 2018, 243 
(245); Hammer/ Knopp, DuD 2015, 503 (507). Dieses Verständnis ist jedoch nur in qualitativer 
Hinsicht anzuwenden, zugunsten der Klarheit des Begriffs - siehe Knopp, DuD 2015, 527 (529). 
Kritisch zur Differenzierung ebenfalls Karg, DuD 2015, 520 (521 f). Bloß zur sprechenden 
Eigenschaft siehe Klar/Kühling in: Kühling/Buchner, DSGVO, Art. 4 Nr. 1 DSGVO, Rn. 39. 

562 Karg, DuD 2015, 520 (523); Artikel 29-Datenschutzgruppe, Opinion 4/2007 on the concept of 
personal data, S. 14 sowie Artikel 29-Datenschutzgruppe, Opinion 05/2014 on Anonymisation 
Techniques, S. 14; vgl. auch Hammer in: Jandt/Steidle, Datenschutz im Internet, B.IV. Rn. 288. 
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563 „>64 


einem Dritten als Treuhänder ist dem Zweck des Pseudonyms fast schon 


inherent, da es stets wenigstens eine Stelle mit Zuordnungsmöglichkeit gibt.565 
Ein Pseudonym kann die Personenbeziehbarkeit sowie Identifizierbarkeit daher 
lediglich erschweren, eine Verknüpfbarkeit durch Recherche nur unterbrechen 
und einer weiteren Verarbeitung auf Basis von Verkettung entgegenwirken.”°6 
Dies erfordert unter anderem die Verschiedenheit aller genutzter Pseudonyme 
untereinander sowie eine Vermeidung doppelter Metadaten.” Ein vollständi- 
ger Ausschluss entspricht dem Verhältnis der Anonymität. Es muss also eine 
unmittelbare oder mittelbare Identifizierbarkeit vorliegen, vgl. auch Art. 4 Nr. 1 
DSGVO. Darauf verweist auch das Bundesverfassungsgericht, indem es die „Nutz- 
barkeit und Verwendungsmöglichkeit“ als Referenzpunkt für die Schutzwürdigkeit 
des personenbezogenen Datums vor einer automatischen bzw. technischen Ver- 
arbeitung erklärt.°® Insofern wirkt sich eine Pseudonymisierung — nachträglich 
wie originär”°” — nur im Einzelfall im Rahmen der Möglichkeitsprüfung dar- 
auf aus, ob ein Personenbezug vorliegt. Diesen Ansatz greift die DSGVO auf 
und stellt fest: „Einer Pseudonymisierung unterzogene personenbezogene Daten, 
die durch Heranziehung zusätzlicher Informationen einer natürlichen Person zu- 
geordnet werden könnten, sollten als Informationen über eine identifizierbare 


natürliche Person betrachtet werden.’ Dieser Weisheit Schluss bedeutet jedoch 


563 Zum Konstrukt des Datentreuhänders siehe nur von Ulmenstein, DuD 2020, 528 ff. 

564 Zu den drei Arten des Pseudonyms RoßnagellScholz, MMR 2000, 721 (725) und Hammer! 
Knopp, DuD 2015, 503 (507). 

565 Knopp, DuD 2015, 527 (529). 

566 Hammer/Knopp, DuD 2015, 503 (505) sowie Knopp, DuD 2015, 527 (527/528). Weiter be- 
zweckt die Pseudonymisierung die Unterstützung des Verantwortlichen bei der Einhaltung des 
Datenschutzrechts, so ErwGr 28 DSGVO. Dies ist jedoch missverständlich, setzt die Vergabe 
von Pseudonymen auf Seiten des Verantwortlichen die entsprechenden technischen Anforderun- 
gen voraus. Eine Umgehung des Klarnamenzwangs, wie er laut AGB bei Facebook vorherrtscht, 
kann keineswegs hierunter zu fassen sein. Dies würde die Erfüllung datenschutzrechtlicher 
Vorgaben vielmehr auf die Inhaber digitaler Identitäten bzw. betroffene Personen verlagern und 
damit der Zweckrichtung des Datenschutzrechts (vgl. Art. 1 Abs. 2 DSGVO) zuwiderlaufen. 

567 Vgl. Artikel 29-Datenschutzgruppe, Opinion 4/2007 on the concept of personal data, S. 18. 

568 Vgl. BVerfGE 65, 1 (45). 

569 Vertiefend zur Differenzierung Schleipfer, ZD 2020, 284 ff. 

570  ErwGr 26 DSGVO. 
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nicht, dass jedes Pseudonym als personenbezogenes Datum zu sehen ist. Dar- 
auf weist schon das Wort „sollen“ im zitierten Erwägungsgrund hin, ebenso der 
eben erwähnte Möglichkeitsansatz des Bundesverfassungsgerichts. Der Verweis 
des Erwägungsgrundes 26 S. 2 DSGVO auf das Wissen Dritter, welches in die 
Ermittlung einzubeziehen ist, hindert dieses Verständnis nicht. Schließlich ist 
mit der Rechtsprechung des EuGH zur Ermittlung des Personenbezugs klarge- 
stellt worden, dass eine Zurechnung des Wissens Dritter nur bei entsprechenden 
Informationsansprüchen oder anderen rechtlichen Grundlagen zugunsten des Ver- 
antwortlichen möglich ist.°’! Mitnichten ist dieses Merkmal also rein-objektiv zu 
verstehen, sondern die bloße Möglichkeit einer Auflösung des Pseudonyms durch 
einen beliebigen Dritten oder gar von Jedermann einzubeziehen.’’” Eher gilt 
bei der Betrachtung von zunächst nicht-personenbezogenen Daten ein objektiver 
Maßstab unter Einbeziehung aller möglicher (subjektiver) Informationsquellen, 
derer sich der Verarbeitende bedienen kann und nach Rechtsprechung des EuGH 
auch erwartungsgemäß tun würde.” Ist die Herstellung des Bezugs entsprechend 
schwierig oder schließt ihn nahezu aus, genügt das Pseudonym seinem Zweck.’’* 
In jedem Fall erweitert sich bei positivem Ergebnis der Schutz der digitalen Iden- 
tität um die Elemente des Persönlichkeitsrechts, da auf Daten-Ebene die Aspekte 
der Persönlichkeitssphären sichtbar werden. Je näher die möglichen Verknüpfun- 
gen die (analoge) Persönlichkeit abbilden, desto schützenswerter sind die Daten 
im Rahmen der Abwägung.” Darüber hinaus kommt einem Pseudonym auch 
ein mittelbarer Schutz durch die Kommunikationsgrundrechte zu. Die Nutzung 
von Decknamen oder verschleierten Identitäten ist, wie erwähnt, zur Umgehung 
von Chilling Effects von besonderer, meinungsfördernder Bedeutung: Durch die 


571 EuGH, Urteil vom 19.10.2016, Az. C-582/14 — Breyer —, Rn. 39 ff; Urteil vom 20.12.2017, Az. 
C-434/16 — Nowak -, Rn. 31 ff. 

572 So im Ergebnis auch Karg in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 
4 Nr. 1 DSGVO, Rn. 61; Hofmann/Johannes, ZD 2017, 221 (224). 

573 EuGH, Urteil vom 19.10.2016, Az. C-582/14 — Breyer —, Rn. 49. Ebenso Karg in: Si- 
mitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 4 Nr. 1 DSGVO, Rn. 59 f; 
Herbst, NVwZ 2016, 902 (903 f). Möglichkeiten und Szenarien der Aufdeckung eines Pseud- 
onyms erläuternd Hansen/Walczak, RDV 2019, 53 (55 f). 

574 Siehe $ 3 Abs. 6a BDSG a.F. 

575 Vgl. BVerfGE 65, 1 (42). 
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Verwendung eines Pseudonyms besteht die Möglichkeit, seine Meinung auch bei 
streitbaren Argumenten frei und ungehindert zu äußern.’ Die Angst vor Ächtung 
oder Repressionen fällt gewissermaßen mit Ablegen der Maske; sie verbleibt bei 
der pseudonymen Identität. Im Austausch prägt diese Art der freien Meinungs- 
äußerung auch die kommunikative Persönlichkeitsentfaltung aus Art. 2 Abs. 1 
iVm 1 Abs. 1 GG.’”’ Die Freiheit in diesen Punkten findet dennoch ihre Grenzen 
in den kollidierenden Rechten Dritter, sei es nur hinsichtlich der Abgrenzung 
von Schmähkritik und Satire. Unabhängig vom eigentlichen Verwendungszweck 
sind pseudonyme digitale Identitäten wegen ihrer potentiellen, wenn nicht gar 
inherent einseitigen, Personenbeziehbarkeit auch vom Schutz des Grundrechts 
auf informationelle Selbstbestimmung umfasst — sowohl als Instrument zwecks 
Selbstdatenschutz°’® als auch als Verpflichtung der Diensteanbieter zum Schutz 
der Grundrechte der betroffenen Personen. 


Fraglicher erscheint dagegen die Einordnung von anonymen digitalen Identitäten 
in den Schutzbereich der informationellen Selbstbestimmung. Mit Blick auf die 
eingangs aufgeführte Definition ist dies von vornherein zu verneinen, mangelt es 
schon an einem Personenbezug des Datums sowie anderweitiger persönlichkeits- 
rechtlicher Relevanz. Einen anderen Schluss lässt das binäre Verhältnis zwischen 


{57° wohl nicht zu. Vergleichbar mit Sachdaten’® 


Personenbezug und Anonymitä 
enthalten anonyme bzw. anonymisierte Datensätze häufig nur Aussagen, wel- 
che Hinweise auf Personengruppen oder generelle gesellschaftliche Verhältnisse 
enthalten. Davon sind jedoch personenbezogene Sachdaten, also Angaben über 
eine Person durch einen Gegenstand (z.B. Standortdaten des Mobiltelefons), zu 
unterscheiden.’®' Folglich mangelt es anonymen Daten grundsätzlich bereits an 


jeglicher Prämisse der Einzigartigkeit oder Detailliertheit. Datenverknüpfungen 


576 Kersten, JuS 2017, 193 (196). 

577 BVerfGE 65, 1 (43) sowie Urteil v. 25.2.2020 — Az. 1 BvR 1282/17 —, Rn. 7; Härting, NIW 
2013, 2065 (2068). 

578  Roßnagel in: Roßnagel, Handbuch Datenschutzrecht, Kap. 3.4, Rn. 56, 60 ff. 

579 Hierzu Karg, DuD 2015, 520 (520) sowie vertiefend Karg in: Simitis/Hornung/Spiecker gen. 
Döhmann, DSGVO/BDSG, Art. 4 Nr. 1 DSGVO, Rn. 14 f. 

580 Ähnlich Karg, DuD 2015, 520 (522). Zum Begriff Klar/Kühling in: Kühling/Buchner, DSGVO, 
Art. 4 Nr. 1 DSGVO, Rn. 12 f. 

581 Karg, DuD 2015, 520 (522). 
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zwischen solchen „aussagenlosen“ Daten — welche dann eine digitale Identität 
iSd Untersuchung darstellen — sind regelmäßig in der Statistik zu finden, weshalb 
das anonyme Datum bzw. auch das anonyme (Persönlichkeits-)Profil für diesen 
Bereich aus gezeigten Gründen von besonderer Bedeutung ist.°®? Bereits der Ge- 
danke an eine Verknüpfung deutet aber an, dass eine weitergehende Verknüpfung 
mit anderen Datensätzen möglicherweise das Risiko einer Auflösung der Anony- 
mität birgt — vorausgesetzt, die Daten weisen im Gegensatz zu synthetisierten 
digitalen Identitäten einen personenbezogenen Teilgehalt des Originaldatums auf. 
Nicht nur der bloße Fakt der Digitalisierung und die Steigerung der Rechenka- 
pazität (z.B. durch Quantencomputer) sowie die fortschreitende Vernetzung aller 
Informationstechnik sprechen dafür, dass das Potential der Zuordnung steigt.”®° 
Auch die große Menge an öffentlich zugänglichen Informationen — sowohl aus 


582 Siehe nur BVerfGE 65, 1 (47) sowie E 150, 1 (Rn. 223 f) — Zensus 2011. Vgl. auch Hölzel, DuD 
2018, 502 (503). 

583 Beispielsweise BVerfGE 120, 274 (304): „Kapazität ihrer Arbeitsspeicher und der mit ih- 
nen verbundenen Speichermedien“; Artikel 29-Datenschutzgruppe, Opinion 05/2014 on An- 
onymisation Techniques, S. 8: „research, tools and computational power evolve“; Karg, DuD 
2015, 520 (520): „Entwicklung der Informations- und Kommunikationstechnologie“; Roßnagell 
Scholz, MMR 2000, 721 (723): „die gegenwärtigen und künftigen technischen Möglichkeiten 
der elektronischen Datenverarbeitung“. Jüngst mündet diese Problematik im Stichwort „Kryp- 
toagilität“, das die Flexibilität beim Austausch von Verschlüsselungsalgorithmen beschreibt — 
hierzu ausführlich Hagemeier, DuD 2019, 631 ff. 
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rechtmäßigen (soziale Netzwerke)?s* 


)>85 


wie rechtswidrigen Quellen (Identitätsdaten- 
leaks)”°> — führt dazu, dass auch „Neugierige“ Zugriff auf Kontextwissen haben 
und über Schlussfolgerungen weitere Datensätze oder gar öffentlich einsehbare 
digitale Identitäten finden. Um ein anonymisiertes Datum bzw. einen anonymi- 
sierten Datensatz erneut zu de-anonymisieren, reichen bereits 15 Merkmale aus 
demografischen oder statistischen Daten - z.B. Alter, Geschlecht, Ort, Persön- 
lichkeitstyp, etc. — aus.°®° Die Idee der absoluten Anonymität kann dahingehend 
bezweifelt werden. Vielmehr ist von einem stetig variablen Restrisiko auszuge- 


hen 587 


584  Hammer/Knopp, DuD 2015, 503 (505). 

585 Wenngleich auf der Ebene der DSGVO bislang in Einklang mit der Rechtsprechung des Eu- 
GH angenommen wurde, dass in die Ermittlung der Wahrscheinlichkeit einer Zuordnung 
nicht rechtswidrige Mittel einzubeziehen sind — so zumindest Klar/Kühling in: Kühling/ 
Buchner, DSGVO, Art. 4 Nr. 1 DSGVO, Rn. 29 und Karg in: Simitis/Hornung/Spiecker 
gen. Döhmann, DSGVO/BDSG, Art. 4 Nr. 1 DSGVO, Rn. 64 -, ist dennoch das aufkom- 
mende Risiko einer Offenlegung der Zuordnung zu diskutieren. Die reine Möglichkeit einer 
Zuordnung durch Abruf und Einbeziehung der öffentlich einsehbaren Datensätze ist schließlich 
nicht unmöglich. Dagegen ist jedoch ins Feld zu führen, dass sich die Reichweite des Wissens 
nur auf „vernünftigerweise“ und rechtliche Mittel begrenzt. Insbesondere nennt der EuGH in 
der Breyer-Entscheidung Rechtsansprüche des Verantwortlichen auf Auflösung der IP-Adresse. 
Einen Anspruch oder ein anderweitiges, ähnliches rechtliches Interesse zur Verknüpfung der 
eigenen digitalen Identitäten mit fremden Datensätzen zur Auflösung von Pseudonymen be- 
steht nicht. Vielmehr würde dies eine Umgehung des Einwilligungsrechts des Betroffenen sowie 
der gesamten Konzeption des Datenschutzrechts als Verbot mit Erlaubnisvorbehalt umgehen. 
Das Datenschutzrecht endet jedoch nicht dort, wo Daten — widerwillig — öffentlich gemacht 
wurden. Der grundrechtliche Schutz kann nur durch den Betroffenen selbst, partiell und zweck- 
gebunden gelockert werden. Diese Lockerung, die nicht als Aufgabe iSe Grundrechtsverzichts 
anzusehen ist, ist Teil der Ausübung des Grundrechts auf informationelle Selbstbestimmung. 
Ein Grundrechtsschutz ist daher insbesondere im Drittverhältnis gegenüber „Neugierigen“ re- 
levant, wenn diese die Datensätze nutzen und verarbeiten. Darunter zählt auch, Verknüpfungen 
mittels Recherche herzustellen und vorzuhalten. 

586 Siehe hierzu die Studie Rocher/Hendrickx/de Montjoye, Nature Communications 10 (2019), S. 
3: 

587 Ebenso Artikel 29-Datenschutzgruppe, Opinion 05/2014 on Anonymisation Techniques, S. 8/9; 
Karg, DuD 2015, 520 (525); Hofmann/Freiling, ZD 2020, 331 (334). 
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Dieses Restrisiko erschöpft sich im gegenwärtigen Verständnis der Anonymität.°®® 


Zum einen kann hier bzgl. des Personenbezugs erneut der Möglichkeitsansatz der 
verfassungsrechtlichen Rechtsprechung herangezogen werden, ebenso die weite- 
ren Grundsätze der Ermittlung des Potentials für einen Personenbezug. Konkre- 
tisiert werden letztere durch das zeitliche wie leistungsgerichtete Moment, die 
Anonymität aufzulösen. Eingeführt wurden diese mit $ 3 Abs. 6 BDSG a.F. Da- 
nach war die Anonymität faktisch schon gegeben, wenn der Personenbezug „nur 
mit einem unverhältnismäßig großen Aufwand an Zeit, Kosten und Arbeitskraft“ 
möglich war. Die Formulierung nimmt die vom Bundesverfassungsgericht vor- 
gesehene Entwicklungsoffenheit der informationellen Selbstbestimmung auf und 
begreift sie als Aufgabe der Gewährleistung.°®” Im Umkehrschluss kann aus den 
Kriterien des $ 3 Abs. 6 BDSG a.F. auch die fortwährende Berücksichtigung tech- 
nischer Möglichkeiten der Auflösung bei der Bewertung der Anonymisierungsver- 
fahren verstanden werden, die dann zu einer stetigen Aufgabe der Anpassung und 
ggf. Nachbesserung der Anonymisierungsverfahren erwächst. Mit Recht wurde 
die Idee des $ 3 Abs. 6 BDSG a.F. daher in Erwägungsgrund 26 der DSGVO 
übernommen und allgemein in die Ermittlung des Personenbezuges einbezogen. 


Die (weitere) Definition der Anonymität innerhalb des Datenschutzrechts de lege 
lata ist jedoch ausgeblieben. Eine Definition über landesrechtliche Vorschriften 
kann je nach Ausgestaltung unter dem vollharmonisierenden Ansatz der DSGVO 
zumindest kritisch gesehen werden.” Vielmehr das binäre Verhältnis zwischen 
Personenbezug und Anonymität gestärkt worden. Dies ist insofern bedenklich, 


588 Anders Stürmer, ZD 2020, 626 (629), wobei jene Ansicht einem gewichtigen Widerspruch 
zugrunde liegt: Nach dem dort vertretenen Herausfallen personenbezogener Daten aus dem 
Anwendungsbereich der DSGVO muss konsequent auch die Überprüfungspflicht auf eine Auf- 
lösbarkeit der Daten und ein Wiederaufleben des Datenschutzrechts hin entfallen. Dass diese 
letztendlich weiterhin bestehen bleibt erscheint in der streng binären Lesart widersprüchlich. 

589 Vgl. BVerfGE 65, 1 (48): „Es müssen klar definierte Verarbeitungsvoraussetzungen geschaf- 
fen werden, die sicherstellen, daß der Einzelne unter den Bedingungen einer automatischen 
Erhebung und Verarbeitung der seine Person betreffenden Angaben nicht zum bloßen Informa- 
tionsobjekt wird.“ In der Literatur von einer Gewährleistung hinsichtlich der Anonymisierung 
ausgehend Karg, DuD 2015, 520 (525). Dies wird auch durch die entwicklungsoffene Formu- 
lierung des einfachgesetzlichen Personenbezugs gestützt, siehe Hofmann/Johannes, ZD 2017, 
221 (224 f). 

590 Hierzu ausführlich Meyer, ZD 2021, 669 (672 ff). 
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als dass der verfassungsrechtliche Schutz nicht an dieser Stelle endet — wenn- 
gleich sich das Grundrecht auf informationelle Selbstbestimmung per Definition 
ausschließlich auf personenbezogene Daten bezieht.””! Gewissermaßen als Reflex 
muss auch die (gewählte) Anonymität, also das bewusste Nicht-Offenlegen von 


592 Gerade diese Variante 


Informationen, Teil der Ausübung des Grundrechts sein. 
bezweckt in ihrer reinsten Form das Moment der Selbstbewahrung als informa- 
tionellen Rückzugsort. Dafür spricht zudem das aus dem Persönlichkeitsrecht 
erwachsende Recht auf Anonymität, wobei das Grundrecht auf informationelle 
Selbstbestimmung dazu als lex specialis iSe Konkretisierung anzusehen ist.’” 
Zugleich wird ihre Rolle im demokratischen Meinungs- und Kommunikations- 


94 sowie ihr partizipatorischer Aspekt°” berücksichtigt. Die Geltung des 


prozess’ 
Grundrechts reicht jedoch nur so weit, wie die Befugnis über die personenbezo- 
genen Daten einschließlich ihrer Verknüpfung zu digitalen Identitäten reicht. Die 
weitere Verarbeitung anonymer Daten entzieht sich diesem Herrschaftsbereich. 
Darüber hinaus — und daher begrifflich zu differenzieren — sind originär anonyme 
Daten im Gegensatz zu anonymisierte Daten diesem Herrschaftsbereich schon von 
Beginn an entzogen, da sie von vornherein keine personenbezogenen oder andere 
Einzelangaben über persönliche oder sachliche Verhältnisse einer Person enthal- 
ten. Angesichts der beschriebenen Wahrscheinlichkeit der De-Anonymisierung 
anonymer Daten scheint die Verbannung aus dem Herrschaftsbereich des Grund- 
rechtsträgers allerdings nicht mehr den tatsächlichen Gegebenheiten angemessen. 


591 Siehe nur BVerfGE 65, 1 (42). 

592 Mit gleichem Ergebnis Luch, Medienpersönlichkeitsrecht, S. 133; Bäumler in: Bäumler/von 
Mutius, Anonymität im Internet, 1 (5). Dagegen ein eigenständiges Grundrecht annehmend 
Kersten, JuS 2017, 193 (195 f). Weitere dogmatische Konstruktionen einschließlich damit zu- 
sammenhängende Probleme aufzeigend von Mutius in: Bäumler/von Mutius, Anonymität im 
Internet, 12 (12) mwN, wobei im Weiteren (S. 15 ff) die Anonymität als „selbstständiges Teil- 
recht“ des Allgemeinen Persönlichkeitsrechts aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG hergeleitet 
wird. Dies wirkt allerdings dann diffus, wenn bei der Einordnung gegenüber dem Grundrecht 
auf informationelle Selbstbestimmung sowie den übrigen Teilgehalte des Allgemeinen Persön- 
lichkeitsrechts dann ein aus der informationellen Selbstbestimmung herzuleitendes Gebot der 
Anonymisierung erwähnt wird. Eine Trennung dieser Art wirkt inkonsequent. 

593 Kersten, JuS 2017, 193 (195). 

594 Hierzu Kersten, JuS 2017, 193 (201 f). 

595 Hartmann, MMR 2017, 383 (385). 
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Zwar würde durch die strikte Trennung die klare Dogmatik aufrecht erhalten wer- 
den können, wie sie mit dem BDSG a.F. eingeführt wurde. Schon 2007 erkennt 
Krügel dementgegen, dass die Qualität der Anonymität von einer Einzelfallent- 
scheidung abhängig ist°® — und nimmt so den relativen Ansatz des Personenbezu- 
ges der heutigen DSGVO vorweg. Das weitere Festhalten an veralteten Dogmen 
käme folglich einer Augenwischerei gleich, wo die Grenze zwischen Personenbe- 
zug (direkt oder bei Pseudonym) und Anonymität zunehmend verschwimmt und 
je Sichtweise des Verantwortlichen anders zu entscheiden ist. Der erkennbare, 
aber ungeregelte Bereich zwischen diesen Begriffen, wo eben nicht „ein bisschen 


Datenschutz“ herrscht,?’ 


müsste daher durch den europäischen wie nationalen 
Gesetzgeber befüllt werden. Zumindest erscheinen die vereinzelten Ansätze in 
der Literatur nicht ausreichend, um die Übergänge datenschutzrechtlich abzusi- 
chern. So wird zwar der risikobasierte Ansatz der DSGVO hervorgehoben und 


über das Kriterium des Personenbezugs gestellt’”® 


oder eine Fokussierung auf die 
Prüfung der Merkmale des Personenbezugs der Reihenfolge und Systematik nach 
forciert”. Der risikobasierte Ansatz ist allerdings bereits Teil der Prüfung des 
Personenbezugs, wie auch der von Schmitz aufgezeigte Erwägungsgrund 75 die 
„unbefugte Aufhebung der Pseudonymisierung“ benennt. So gesehen rekurriert 
die datenschutzrechtliche Risikobetrachtung auch auf die relative Betrachtung 
des Personenbezugs, welcher die Risiken der Änderung des Datenbestandes, der 
unternehmerischen Interessen oder technischen Verarbeitungsmöglichkeiten auf- 


greift. Sie schließen sich — entgegen der Ansicht von Schmitz — nicht aus.” Eine 


596 Artikel 29-Datenschutzgruppe, Opinion 4/2007 on the concept of personal data, S. 21; Euro- 
päischer Datenschutzbeauftragter, Guidelines 04/2020 on the use of location data and contact 
tracing tools in the context of COVID-19 outbreak, S. 5 Rn. 15: „contextual elements that may 
vary case by case“; mwN auch Gierschmann, ZD 2021, 482 (483 f). 

597 Karg, DuD 2015, 520 (523). 

598 Schmitz, ZD 2018, 5 (8). 

599  Krügel, ZD 2017, 455 (456). 

600 Hiervon ausgehend wohl Klar/Kühling in: Kühling/Buchner, DSGVO, Art. 4 Nr. 1 DSGVO, 
Rn. 22. 
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dezidierte Prüfung der Merkmale hilft jedoch nicht über die Dynamik des Per- 


601, Die bereits 


sonenbezuges weg, wenngleich sie ein zeitliches Moment enthäl 
erwähnte Betrachtung des Personenbezugs in den Stadien des Zwecks, des Inhalts 
und des Ergebnisses der Verarbeitung, auf die Krügel verweist, führt auch bei 
einer möglichen De-Anonymisierung zu einem Personenbezug. Dieser kann sich 
nämlich als Ergebnis einer Aggregation — also einer Verarbeitung — ergeben, wenn 
der Verarbeitende nach allgemeinem Ermessen auf Mittel und Informationen in 
seiner Sphäre zurückgreifen kann und würde. Zumindest besteht hierin zuneh- 
mend das Risiko für die Rechte und Freiheiten der Träger des Grundrechts auf 
informationelle Selbstbestimmung aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG und auch 


des Grundrechts auf Datenschutz aus Art. 8 GrC. 


Die Stärke bzw. „Robustheit“? der Anonymisierung von Daten kann dahinge- 
hend bezweifelt werden, obschon diese Art der Verarbeitung von Daten mit einer 
Gewährleistung dieses Status einhergeht. Von Seiten des Gesetzgebers sollte da- 
her stets Wert auf eine „echte“ bzw. absolute Anonymisierung gelegt, also als 
Standard iSd Stands der Technik etabliert, werden. Unter echter Anonymisierung 
ist jede Verarbeitung von personenbezogenen Daten zu verstehen, die die Identifi- 
zierbarkeit einer Person unmöglich macht. Unmöglich meint dabei jedoch allein 
faktisch nicht identifizierbar, also ganz im Verständnis des $ 3 Abs. 6 BDSG a.F. 


601 Die Betrachtung des Personenbezuges geschieht im (potentiellen) Moment der Datenverarbei- 
tung, wie sich indirekt aus ErwGr 26 S. 4 aE entnehmen lässt — so auch Krügel, ZD 2017, 455 
(456). Dies ermöglicht zwar im Ansatz eine relative Betrachtung, da es nur auf die Möglich- 
keiten im Moment der besagten Verarbeitung ankommt. Relativ betrachtet werden müssen aber 
auch die Vorgänge der Datenverarbeitung selbst, also sowohl Inhalt, Zweck und Ergebnis der 
Datenverarbeitung in Abhängigkeit vom Datensatz und ggf. weiteren Faktoren. Damit greift 
eine Fokussierung der Relativität lediglich auf das zeitliche Moment zu kurz. 

602 Hierzu Europäischer Datenschutzbeauftragter, Guidelines 04/2020 on the use of location data 
and contact tracing tools in the context of COVID-19 outbreak, S. 5 Rn. 15, 16. 

603 Als absolute Anonymisierung wird das eine Re-Identifizierung ausschließende Verändern der 
Daten verstanden. Hiervon ist die formale Anonymisierung, also die Entfernung direkter Merk- 
male wie Name, Anschrift, etc. zu trennen. — So Hornung/Wagner, ZD 2020, 223 (224); 
Watteler/Kinder-Kurlanda, DuD 2015, 515 (516). 

604 Klabunde in: Ehmann/Selmayr, DSGVO, Art. 4, Rn. 20. 
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nur unter großem zeitlichen, finanziellen oder technischen Aufwand.°® Von Sei- 
ten des Staates sind diesbezüglich allerdings keine Vorgaben ersichtlich, weshalb 
sich an der Richtlinie des faktischen State ofthe Art bzw. Standes der Wissenschaft 
und Technik zu orientieren ist. Dies folgt sowohl aus den datenschutzrechtlichen 
Bestimmungen der Art. 25, 32 DSGVO0 als auch im Wege der mittelbaren 
Drittwirkung der informationellen Selbstbestimmung, welche Nutzungsverträge 
von Plattformen oder technischer Infrastruktur z.B. in Generalklauseln durch- 
dringt. Grundsätzlich sind danach technisch geeignete und erforderliche Mittel 
zu wählen, die sowohl die Dienstleistung ermöglichen als auch die Rechte und 
Freiheiten des Nutzers — beispielsweise in Form der Schutzziele des Art. 5 Abs. 1 
DSGVO - berücksichtigen.” Nach Möglichkeit sind also unmittelbar anonyme 
Daten zu erheben und mit Blick auf den Verarbeitungs- bzw. Verwendungszweck 
zur Zweckerfüllung auch anonymisierte Daten zu verwenden. Befinden sich ver- 
schiedene anonyme und/oder anonymisierte Datensätze an einem Speicherort, 
könnte dies die Unverkettbarkeit beeinträchtigen. Denn auch durch das Verglei- 
chen und Kombinieren dieser Datensätze können sich Muster ergeben, die auf eine 
bestimmte Person zurückzuführen sind und die Identifizierbarkeit erhöhen (sog. 
record linkage).®® Sodann fungieren die einzelnen Daten als Quasi-Identifier des 
Musters. Überdies ist das Anonymisierungsverfahren nach dem Stand der Wis- 
senschaft und Technik auszurichten: Die Auswahl des Verfahrens sollte jeweils 
im Sinne der Verhältnismäßigkeit sowie der datenschutzrechtlichen Zielstellungen 
der Datenminimierung und Zweckbindung getroffen werden. Das Verfahren der 
Generalisierung ermöglicht beispielsweise die Reduktion des Datensatzes auf nur 
noch notwendige Teile. Dazu können im Sinne einer Generalisierung Teile des 


605 Bereits BVerfGE 65, 1 (49); ferner Schild in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), 
$ 3 BDSG 2003 [aK], Rn. 96 f. 

606 Hierauf bezugnehmend Ritter in: Schwartmann etal., DSGVO/BDSG, Art. 32, Rn. 34. 

607 Hartung in: Kühling/Buchner, DSGVO, Art. 25 DSGVO, Rn. 20 sowie Jandt in: Kühling/ 
Buchner, DSGVO, Art. 32 DSGVO, Rn. 5; Baumgartner in: Ehmann/Selmayr, DSGVO, Art. 
25, Rn. 14 f. 

608 Siehe hierzu die Angriffsbeispiele in Perrlic/Sorge, Datenschutz, S. 34 ff. Vgl. auch Hölzel, DuD 
2018, 502 (504) und Schwartmann/Weiß, Entwurf für einen Code of Conduct zum Einsatz DS- 
GVO konformer Pseudonymisierung, S. 21. 

609 Zum Begriff Hölzel, DuD 2018, 502 (504) sowie Petrlic/Sorge, Datenschutz, S. 30 f. 
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Datensatzes gelöscht oder so vergröbert bzw. aggregiert werden, dass das Merk- 
mal bei inhaltsgleichen Aussagen den gleichen Wert erhält.6!° Auch ließen sich 
die Datensätze im Rahmen des Möglichen verzerren oder randomisieren, indem 
die Daten in einem Datensatz bzw. einer Datenbank vertauscht (sog. Swapping)®!! 
oder durch Hinzufügen von Werten bzw. gleichmäßigem Erhöhen der Werte (z.B. 
alle Werte +10) „verfälscht“ werden.°!? Letzteres ist aber nur dann möglich, wenn 
der (statistisch relevante) Aussagegehalt der Daten im Ergebnis erhalten bleibt. 
Eine Kombination beider Verfahrensrichtungen ist ferner in der Synthese der 
Datensätze zu sehen, die unter D.I.1.b)bb)(1) dargestellt wurde. Diese Bandbrei- 
teĉ!3 zeigt, dass eine sichere Anonymisierung auf lange Sicht - allerdings nicht 
dauerhaft — durchaus möglich ist. 


Eben aufgezeigte Möglichkeiten einer beständigen Anonymität und das zuvor 
aufgeworfene Ergebnis der fraglichen (absoluten) Anonymität stehen sich nun 
gegenüber, sind aber nur prima facie widersprüchlich. Der Widerspruch deutet le- 
diglich darauf hin, dass die bisherige Regelungsweise im Datenschutzrecht sowie 
der Ausschluss anonymer wie anonymisierter Daten vom Grundrecht auf infor- 
mationelle Selbstbestimmung dem grundrechtlichen Gewährleistungsverständnis 
zuwider läuft. Wenngleich Ansätze für eine sichere Anonymisierung in der Praxis 
bestehen, trägt die mangelnde Regelung weder zur Klarheit im Umgang mit derar- 
tigen Daten noch hinsichtlich einer sicheren Verarbeitung bei. Schon das Fehlen 
einer Definition zum Zwecke der Abgrenzung ist seit der Neufassung des BDSG zu 
bemängeln.°!* Weiter ist die Anonymisierung von Daten, die datenschutzrechtlich 


d615 


vereinzelt zum Schutz personenbezogener Daten gefordert wird” ”, nur wenig eta- 


bliert worden. Im Bereich der IT-Sicherheit führt leider auch keine Erläuterung 


610 Hammer in: Jandt/Steidle, Datenschutz im Internet, B.IV., Rn. 290; Buchmann, DuD 2015, 510 
(511). Für Beispiele siehe Petrlic/Sorge, Datenschutz, S. 32 f. 

611 Hölzel, DuD 2018, 502 (505). 

612 Artikel 29-Datenschutzgruppe, Opinion 05/2014 on Anonymisation Techniques, S. 12; Buch- 
mann, DuD 2015, 510 (511). 

613 Weitere Verfahren aufzeigend Artikel 29-Datenschutzgruppe, Opinion 05/2014 on Anonymi- 
sation Techniques, S. 11 ff. 

614 Daher ebenso eine klare Definition fordernd Winter/Battis/Halvani, ZD 2019, 489 (490). 

615 Beispielsweise Buchner/Tinnefeld in: Kühling/Buchner, DSGVO, Art. 89 DSGVO, Rn. 17. 
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im Rahmen des BSI-Grundschutz-Kompendiums dazu, dass sich Anonymisie- 
rungspraktiken zumindest als freiwillige Standards etablieren.°!® Die begriffliche 
Unsicherheit erstreckt sich dann auch über den Umgang mit anonymen/anony- 
misierten Daten und führt zum Trugschluss, dass einmal anonyme Daten immer 
anonym bleiben — wenngleich das Datenschutzrecht die Prüfungspflicht in einem 
bloß zur Auslegung zu beleihenden Erwägungsgrund der DSGVO einbezieht. 
So übersehen, gerät die Weitergabe anonymisierter Daten an Dritte, die wo- 
möglich einen Personenbezug herstellen können und der Weitergebende hierüber 
in Unkenntnis ist, zur Gefährdung der informationellen Selbstbestimmung des 
Datensubjekts. Schließlich gelten für anonyme wie anonymisierte Daten keine 
Regelungen zur Information über die Datenweitergabe; das Datenschutzrecht ist 
nicht anwendbar, es gibt eine derartige Regelung schlichtweg nicht. Das daten- 
schutzrechtliche wie verfassungsrechtliche Ziel, personenbezogene Daten vor den 
Gefahren des technischen Fortschritts zu schützen, kann auf diese Weise nicht 
erfüllt werden. Zwangsnotwendig, auf Basis der Schutzpflichten aus Art. 2 Abs. 1 
iVm 1 Abs. 1 GG°!7 sowie zur Herstellung der Rechtsklarheit und Bestimmtheit 
gem. Art. 20 Abs. 1, Abs. 3 GG, bedarf es hier einer Nachrüstung sowie Wächter- 
position des Staates zur Absicherung des Grundrechtsschutzes. Als Vorbild kann 
hierbei das japanische Modell dienen, welches umfassend auf Begriffsdefiniti- 
on, geeignete Anonymisierungspraktiken, Datensicherheit, Informationspflichten 


usw. eingeht.6!® 


Vor diesem Hintergrund ist der Schutzbereich des Grundrechts auf informationel- 
le Selbstbestimmung sowohl für pseudonyme wie anonyme digitale Identitäten 
eröffnet. Für originäre Pseudonyme wie nachträglich pseudonymisierte Daten er- 
gibt sich kein Unterschied in der Ermittlung des Personenbezugs — das Pseudonym 


616 Die Abschnitte CON.1 „Kryptokonzept“ und CON.2 „Datenschutz“ enthalten hierzu kei- 
ne Informationen — siehe https://www.bsi.bund.de/DE/Themen/ITGrundschutz/I[TGrunds 
chutzKompendium/itgrundschutzKompendium_node.html. Zur Wirkung des Grundschutz- 
Kompendiums als „Soft Law“ Djeffal, MMR 2019, 289 (292). Die daraus resultierende Lücke 
kritisierend Gehrmann/Voigt, CR 2017, 93 (98). 

617 Zur Schutz- und Gewährleistungsverantwortung des Staates ausführlich Roßnagel in: Roßna- 
gel, Handbuch Datenschutzrecht, Kap. 3.4, Rn. 17 ff. 

618 Geminn/Laubach/Fujiwara, ZD 2018, 413 (417 ff) sowie RoßnagellGeminn, ZD 2021, 487 
(490). 
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dient lediglich als Instrument des (Selbst-)Datenschutzes zur Segregation der In- 
formationsverteilung. Anonyme Daten fallen zwar nicht unmittelbar unter den 
durch das Bundesverfassungsgericht ausdefinierten Schutzbereich, sind allerdings 
in der Reflexwirkung dennoch diesem Grundrecht zuzuordnen. Dies als weitere 
(eigenständige) Ausprägung des Allgemeinen Persönlichkeitsrechts zu begreifen 
würde die Ausbildung des Grundrechts auf informationelle Selbstbestimmung nur 
demontieren. Dogmatisch nachvollziehbarer ist es, das Grundrecht um diese Kom- 
ponente zu erweitern. Demgemäß wäre jedes Datum vom grundrechtlichen Schutz 
umfasst, was in seiner Wirkung mit dem absoluten Verständnis des Personenbe- 
zugs gleich gesetzt werden könnte. Dem ist jedoch zu entgegnen, dass die relative 
Betrachtungsweise des Personenbezugs für die Ermittlung des (grundrechtlichen) 
Risikos für die betroffenen Personen ebenso notwendig ist und sich der Schutz 
der verschiedenen Sphären - also direkter Personenbezug, indirekter Personenbe- 
zug u.a. bei Pseudonymen und Anonymität mit geringem bis nicht bestehendem 
Personenbezug - in einfachgesetzlicher wie grundrechtlicher Hinsicht unterschei- 
det. Nur so kann die einst durch das Bundesverfassungsgericht gewählte Losung 


„Es gibt kein belangloses Datum“? 


umgesetzt werden, wenn die Relevanz bzw. 
das Risiko jeden Datums einzelfallbezogen berücksichtigt wird. Gerade bei Da- 
tensammlungen wie der digitalen Identität drängt sich diese Betrachtungsweise 


auf. 


Als Konsequenz ist die eben dargestellte Würdigung des Personenbezugs auf die 
Verhältnismäßigkeitsprüfung zu übertragen. Ausgehend davon, dass sich eine fest- 
stehende Einordnung in die aufgeführten Begrifflichkeiten nicht umsetzen lässt 
und vielmehr ein dynamisch-kontextuelles Verhältnis vorliegt, bedarf es einer 
entsprechenden Anpassung im Rahmen der Verhältnismäßigkeit. Notwendig ist 
hierzu zunächst der Personenbezug der digitalen Identität: Je nach Einordnung 
bei der Prüfung des Schutzbereiches ist zunächst zu differenzieren, ob die Daten 
bei der Erstellung der digitalen Identität originär anonym/pseudonym oder durch 
spätere Verarbeitung anonymisiert bzw. pseudonymisiert sind. Im ersteren Fall 
ergibt sich stets ein stärkeres Schutzniveau der Daten, da von Beginn an dem 


619 BVerfGE 65, 1 (45). 
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Verantwortlichen keine Verknüpfung bzw. kein Rückschluss auf das Individuum 
bekannt ist.” Anders liegt der Sachverhalt, wenn der Zustand der Anonymität 
oder Pseudonymität erst hergestellt wird, sodass es besonderer Vorkehrungen be- 
darf — beispielsweise des erwähnten Löschens der Originaldaten oder auch eine 


621. Dies einbe- 


Abschottung der anonymisierten/pseudonymisierten Datensätze 
ziehend, besteht ein unterschiedliches Gewicht bei einer Abwägung für jeweils 
direkt personenbeziehbare, pseudonyme/pseudonymisierte und anonyme/anony- 
misierte digitale Identitäten. Zur weiteren Feststellung dieses Gewichts dient als 
Orientierung und Abstraktionsebene die durch Rechtsprechung‘”? und Literatur‘ 
ausdifferenzierte Sphärentheorie des Allgemeinen Persönlichkeitsrechts. Sie soll 
in der Gesamtschau allerdings nicht zur Einführung strenger Grenzen zwischen 


Schutzgraden führen, sondern vielmehr die Sensibilität oder das Interesse an der 


620 Vgl. Härting, NIW 2013, 2065 (2070); Schleipfer, ZD 2020, 284 (284, 287 ff). 

621 Hammer in: Jandt/Steidle, Datenschutz im Internet, B.IV., Rn. 287. 

622 Zur Intimsphäre: BVerfGE 6, 32 (41); 27, 1 (6); 34, 238 (245 f); 38, 316 (320). Zur Privatsphäre: 
27, 344 (350); 34, 238 (245); 35, 202 (220); 44, 197 (203). Zur Sozial- und Öffentlichkeits- 
sphäre: BVerfGE 35, 35 (39); 35, 202 (220); 80, 367 (373). 

623  Murswiek/Rixen in: Sachs, GG, Art. 2, Rn. 103 ff; Degenhart, JuS 1992, 361 (363 f). Im Detail 
auch Horn in: Isensee/Kirchhof, HStR VII, $ 149, Rn. 72 ff; Rudolf in: Merten/Papier, HGr 
IV, $ 90, Rn. 67 ff. 
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Privatheit des Datums im Kontext der digitalen Identität ausmachen.’ Gradmes- 


ser dieser Theorie ist die Nähe des persönlichkeitsrechtlichen Sachverhalts zur 


Menschenwürde bzw. der Intimsphäre als letzter „Kernbereich privater Lebens- 


gestaltung’. Als Kontrapunkt dazu dient die Öffentlichkeits- bzw. Sozialsphä- 


re626, die durch den Bezug zur Allgemeinheit geprägt ist. Ein Überwiegen der 


624 


625 


626 


Die Sphärentheorie im Bereich der informationellen Selbstbestimmung ablehnend Nebel, ZD 
2015, 517 (519 f), ähnlich auch Murswiek/Rixen in: Sachs, GG, Art. 2, Rn. 106; Kunig, Jura 
1993, 595 (602 f). Dementgegen Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 
77, Rudolf in: Merten/Papier, HGr IV, $ 90, Rn. 67; von Mutius in: Bäumler/von Mutius, An- 
onymität im Internet, 11 (19, 21 f, 24 f) und ausführlich Luch, Medienpersönlichkeitsrecht, 
S. 123 f. Letzterer Ansicht ist schon deshalb zuzustimmen, weil die von Nebel behauptete 
Abkehr des BVerfG von der Sphärentheorie hinsichtlich des Grundrechts auf informationelle 
Selbstbestimmung nicht besteht. Vielmehr nimmt das BVerfG in seiner Tagebuch-Entscheidung 
ausdrücklich eine Einordnung in die Sphären vor, beschränkt sich aufgrund des Sachverhalts 
lediglich auf die Intimsphäre als (letzter) Kernbereich privater Lebensgestaltung — siehe nur 
BVerfGE 80, 367 (374). Dies berücksichtigt wider Erwarten auch Kunig. Folglich geht es 
zumindest von zwei Bereichen aus, nämlich Intim- und Privatsphäre — dieser Ansicht auch 
Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 2 I, Rn. 285 mwN. Darüber hinaus be- 
rücksichtigt Nebel nicht, dass in der Entscheidung zur Online-Durchsuchung im Jahr 2008 das 
BVerfG erneut die Sphären in Erwägung zieht. Es stellt jedoch fest, dass eine genaue Zuordnung 
des Datums oft nicht vorgenommen werden kann. „Das hat zur Folge, dass mit der Infiltration 
des Systems nicht nur zwangsläufig private Daten erfasst werden, sondern der Zugriff auf alle 
Daten ermöglicht wird, so dass sich ein umfassendes Bild vom Nutzer des Systems ergeben 
kann.“ Es geht daher über den Schutz der Privatsphäre hinaus — so BVerfGE 120, 274 (311 f). 
Dies wird auch in der Entscheidung zur Vorratsdatenspeicherung — BVerfGE 125, 260 (319) 
— bekräftigt, indem die Vertraulichkeit der Informationen in Bezug zur Intimsphäre gesetzt 
wird. Insofern kann höchstens ein Abrücken von einer strengen Einordnung in digitalen Belan- 
gen darin gesehen werden, nicht jedoch eine vollständige Abkehr von verschieden geschützten 
Lebensbereichen in Form der Sphären. Andernfalls bliebe die bis zuletzt vom BVerfG vertre- 
tene Lehre vom unantastbaren Kernbereich unberücksichtigt, die es ohne eine Sphärentheorie 
nicht gäbe. Gerade jene Vertreter der Ansicht, welche die informationelle Selbstbestimmung 
als bloße Ausprägung des Allgemeinen Persönlichkeitsrechts ansehen, müsste ein Versagen der 
Sphärentheorie aus dogmatischer Sicht fremd sein. 

BVerfGE 109, 279 (314); 120, 274 (335); 141, 220 (276 f). Horn in: Isensee/Kirchhof, HStR 
VII, $ 149, Rn. 75 ff; Murswiek/Rixen in: Sachs, GG, Art. 2, Rn. 106. 

Beide Begriffe differenzierend Degenhart, JuS 1992, 361 (364), wobei die Sozialsphäre sich 
lediglich im Informationsaustausch mit anderen Menschen ergibt und es für die Öffentlichkeits- 
sphäre nicht auf einen bestimmten Empfänger/Adressaten ankommt. Davon ist aber die private, 
familiäre Kommunikation zu unterscheiden, welche Teil der Privatsphäre ist. 
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Allgemeininteressen im Abwägungsprozess ist hier schon nicht notwendig auf- 
grund der mangelnden Nähe zum Kernbereich.6?’ Dazwischen befindet sich die 
Privat- bzw. Geheimsphäre, die eines Eingriffes nur bei überwiegenden Interessen 
der Allgemeinheit und bei Wahrung des Verhältnismäßigkeitsgebots zugänglich 
ist. Sie zeichnet sich gerade dadurch aus, dass sie als bewusst bzw. selbstbestimmt 
ausgeformter Bereich privater Lebensgestaltung — räumlich wie sachlich — der 
Öffentlichkeit (partiell) entzogen ist.°?® 


Diese Grundsätze sind auf die Abwägung des Schutzes digitaler Identitäten als 
Teil der informationellen Selbstbestimmung mit kollidierenden Interessen formel- 
haft zu übertragen: Je näher der informationelle Gehalt der digitalen Identität der 
Menschenwürde ist, desto schützenswürdiger ist das Interesse des Grundrechts- 
trägers und desto höher ist es zu gewichten. Diese Qualität des Datums wird 
durch die Verknüpfung von personenbezogenen Daten zu einer digitalen Identität 
signifikant erhöht. Darin verwirklicht sich auch das Kriterium der Quantität bzw. 
„Datenmasse“. Beide Aspekte greifen sodann die seit dem Volkszählungsurteil 
vom Bundesverfassungsgericht geäußerte Gefahr vor Verknüpfungsmöglichkeiten 
auf, welche Teil der Begründung für das Grundrecht auf informationelle Selbst- 


bestimmung ist.” 


Überdies kann die Stärke des Personenbezugs als Indiz für die Sensibilität der 
Inhalte — und damit eine Nähe zur Menschenwürde des Art. 1 Abs. 1 GG - her- 
halten. Je weniger qualitativ bzw. „reich“ der Datensatz an Informationen über 
persönliche Angaben ist — so z.B. bei anonymen digitalen Identitäten —, desto 
einschneidender ist eine Offenlegung und Anreicherung durch Verknüpfung oder 
andere Verarbeitungsvorgänge in das Grundrecht auf informationelle Selbstbe- 
stimmung. Grundlage dessen ist die Überlegung, dass bewusst anonym angelegte 


627 Vgl. BVerfGE 101, 361 (370); Degenhart, JuS 1992, 361 (364). Vertiefend zum Sozialbezug 
Kube in: Isensee/Kirchhof, HStR VII, $ 148, Rn. 43 f; Lorenz in: Kahl/Waldhoff/Walter, BonnK 
GG, Art. 2 I, Rn. 316 f. 

628 BVerfGE 44, 197 (203); 90, 255 (260); vgl. auch E 101, 361 (368, 373 f). Lorenz in: Kahl/ 
Waldhoff/Walter, BonnK GG, Art. 2 I, Rn. 277 f; Horn in: Isensee/Kirchhof, HStR VII, $ 149, 
Rn. 79 f; Kube in: Isensee/Kirchhof, HStR VII, $ 148, Rn. 38 f; Kloepfer, VerfR II, $ 56, Rn. 
53; Degenhart, JuS 1992, 361 (364). 

629 Siehe nur BVerfGE 65, 1 (45). 
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Identitäten regelmäßig dazu dienen, die wahre Identität zu verbergen und ein 
Geheimhaltungsinteresse des Grundrechtsträgers zum Ausdruck bringen. Anony- 
mität und Selbstbestimmtheit müssen heute mehr denn je bewusst und proaktiv 
hergestellt werden, um die stetig gegebene Personenbeziehbarkeit bei der Nut- 
zung des Internets zu unterbrechen. Hingegen ist bei einer zumindest partiellen 
Verknüpfung ähnlich einem pseudonymen/pseudonymisierten Datenbestand die 
Stärke der Belastung abzusprechen, spricht doch durch die einseitige Information 
des Diensteanbieters und die qualitative Anonymität gegenüber anderen Dienste- 
nutzern für eine selbstbestimmte Informationsweitergabe. In der Parallelwertung 
entspricht dieses Verhältnis dem der Privatsphäre, wo beispielsweise Informa- 
tionen im Rahmen von Gesprächen nur einem engen Personenkreis offengelegt 
werden und nicht notwendigerweise ein digitales Sakrosankt darstellen. Das führt 
jedoch nicht zu einem mangelnden Schutz, denn das mit der Weitergabe der 
Daten verbundene Missbrauchsrisiko wird durch einfachgesetzliche wie verfas- 
sungsrechtliche Prinzipien des Datenschutzes aufgefangen, unter anderem der 


1 


Zweckbindung®?' oder der Datenminimierung iSe Erforderlichkeitsprüfung bei 


der Datenerhebung‘??. Digitale Identitäten, die Informationen öffentlich teilen — 
vergleichbar mit dem öffentlich einsehbaren Profil bei sozialen Netzwerken‘? —, 
entsprechen dagegen vielmehr der Sozial- bzw. Öffentlichkeitssphäre. Das jewei- 
lige Eindringen in diese Bereiche, die fast schon einer virtuellen Räumlichkeit 
des Internets anmuten, bedarf dann der eingangs aufgeführten berechtigten In- 
teressen zur Rechtfertigung des Eingriffs. Darüber hinaus ist in die Einordnung 
auf dieser Skala der (damit verknüpfte) Inhalt der digitalen Identität einzubezie- 
hen. Unter Berücksichtigung der Rechtsprechung des Bundesverfassungsgerichts 
zur Auswertung von Tagebüchern ist entscheidend, ob es sich um Informationen 
handelt, die aufgrund ihrer Eigenart einer Sphäre angehören.°* Beispielsweise 


630 Ähnlich Tucker, MIT Technology Review 4 (2013), 64 f. Hierzu sogleich Kapitel D.1.1.b)bb)(3). 

631 Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 2 I, Rn. 116 f. 

632 Vgl. Herbst in: Kühling/Buchner, DSGVO, Art. 5 DSGVO, Rn. 57; zutreffend als Teil 
der Verhältnismäßigkeitsprüfung prüfend Roßnagel in: Simitis/Hornung/Spiecker gen. Döh- 
mann, DSGVO/BDSG, Art. 5 DSGVO, Rn. 120. 

633 Vgl. zur Höchstpersönlichkeit nicht-öffentlich zugänglicher Inhalte eines Nutzerkontos BGH, 
Urteil vom 12.7.2018, Az. II ZR 183/17, Rn. 39 — zitiert nach juris. 

634 Vgl. BVerfGE 80, 367 (374 f). 
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kann dies für die datenschutzrechtlich besonders geschützten besonderen per- 
sonenbezogenen Daten iSd Art. 9 Abs. 1 DSGVO angenommen werden, wobei 
sich eine Intimität insbesondere in den Daten zur sexuellen Selbstbestimmung, 
der Gesundheit oder politischen Gesinnung zurechnen lässt. Abseits dieser aus 
der höchst subjektiven Prüfung der Sphärentheorie stammenden Indizien wirkt 
sich auch die Art und Weise der Datenerlangung auf die Verhältnismäßigkeit aus, 
u.a. die Heimlichkeit der Maßnahme oder die Anlass- und Verdachtsbezogenheit 


der Erhebung.” 


Der Schutz der digitalen Identität ist demnach abhängig vom Personenbezug der 
Datensammlung. Doch nicht nur der Gehalt wirkt sich auf den Umfang und die 
Stärke grundrechtlichen Schutzes aus, auch die Variante der Aufbewahrung und 
Nutzung sind wertend einzubeziehen. Im Rahmen des Schutzbereiches ergibt sich 
so ein breit aufgestellter Schutz, bei dem lediglich die Anonymität zu Problemen 
führt. Diese können aber durch eine — dogmatisch notwendige — Öffnung des 
Schutzbereiches der informationellen Selbstbestimmung und einfachgesetzliche 
Anpassungen umgangen werden. Ferner findet die Stärke des Personenbezugs 
sich im Abwägungsprozess wieder, um je Einzelfall eine verhältnismäßige Wer- 
tung im Kontext der Datennutzung zu ermöglichen. Hierbei gibt der Grad des 
Personenbezugs Aufschluss darüber, wie privat oder intim die digitalen Aspekte 
der Identität sind. Weiterhin sind in die Bewertung der eigentliche Informations- 
gehalt und die bestehende Verkettung sowie eine potentielle Verkettbarkeit der 
digitalen Identität mit weiteren Datensätzen aufzunehmen. Mangels fester Gren- 
zen zwischen digitalen Sphären, deren Einordnungsschwierigkeit sich schon am 
relativ festzustellenden Personenbezug entzündet, ist eine dynamische und ein- 
zelfallabhängige Prüfung der Verhältnismäßigkeit vonnöten. In dieser Hinsicht 
besteht aber kein Unterschied zur üblichen Prüfung der Sphärentheorie.°® Hier- 
für spricht insbesondere die Rollenprägung der digitalen Identität, welche in der 


635 Siehe auch die ausführliche Aufschlüsselung anhand der Stufentheorie von Starck in: von 
Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 2 I, Rn. 118. 

636 So klassifizierend Nebel, ZD 2015, 517 (517). 

637 Diese und weitere Kriterien aufführend Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, 
Art. 2, Rn. 77. 

638 Horn in: Isensee/Kirchhof, HStR VII, $ 149, Rn. 80. 
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begrifflichen Herleitung bereits dargestellt wurde und sich auch in den Facetten 


des Persönlichkeitsrechts wiederfindet.%? 


(3) Digitale Identitäten ohne Kenntnis und/oder Einwilligung Ei- 
ne weitere Unterscheidung bei der Betrachtung digitaler Identitäten ist aus prak- 
tischen Erwägungen vorzunehmen. Auf Basis des weit gefassten Begriffes der 
digitalen Identität ist nicht ausgeschlossen, dass sie auch gegen oder ohne den 
Willen des gewöhnlichen Internetnutzers angelegt und verwaltet wird. In letzteren 
Fällen mangelt es sowohl an Kenntnis als auch an einer Einwilligung über die 
Datenverarbeitung. Alternativ kann es auch nur an einem der beiden Kriterien 
— Kenntnis bzw. Bewusstsein und Einwilligung - fehlen. Folglich ist ebenso auf 
diesen Ebenen zu ermitteln, inwiefern die Einwilligung auf die digitale Identität 
und den verfassungsrechtlichen Schutz Einfluss nimmt. Dazu wird nachstehend 
schrittweise sowohl der Schutz mit als auch ohne Einwilligung in Korrelation 
zur vorhandenen bzw. fehlenden Kenntnis untersucht. Dies wird auch nicht ohne 
einen Blick auf das geltende Datenschutzrecht zu bewerkstelligen sein. 


Vorangestellt bedarf es aber einiger Ausführungen zum Hintergrund der Einwil- 
ligung und den verfassungsrechtlichen Wurzeln. Dem Allgemeinen Persönlich- 
keitsrecht aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG lassen sich nur geringfügig Aspekte 
der Einwilligung entnehmen, wenngleich sie Gegenstand persönlichkeitsrechtli- 
cher Verfahren vor dem Bundesverfassungsgericht war bzw. ist.“ Im Bereich 
des (ebenfalls unbenannten) Grundrechts auf informationelle Selbstbestimmung 
finden sich ebensowenig Anhaltspunkte im Wortlaut der Verfassung, auch nicht in 
einem Teil der Wurzel — namentlich der Handlungsfreiheit des Art. 2 Abs. 1 GG 


641 


als Kern des Grundrechts”" . Vielmehr ist erneut der Ursprung des Grundrechts — 


die Volkszählungsentscheidung des BVerfG - zu beleihen, um das Grundrecht in 


639 Siehe dazu Kapitel B.I. Hinsichtlich der Rollenprägung der Sphärentheorie siehe Nebel, ZD 
2015, 517 (517/518). 

640 Siehe nur BVerfGE 101, 361 (391). 

641 So Kube in: Isensee/Kirchhof, HStR VII, $ 148, Rn. 28, 32 und Murswiek/Rixen in: Sachs, GG, 
Art. 2, Rn. 63, bezugnehmend auf BVerfGE 27, 344 (351) =NJW 1970, 555. Vgl. auch Jarass in: 
Jarass/Pieroth, GG-Kommentar, Art. 2, Rn. 38. 
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dieser Hinsicht zu definieren. Rein begrifflich setzt die informationelle Selbstbe- 
stimmung auch die Möglichkeit voraus, die Selbstbestimmung aktiv auszuüben. 
Ein bloßes Verharren in der Rolle des Abwehrrechts entspricht zumindest weniger 
besagter Wurzel des Grundrechts in Art. 2 Abs. 1 GG. Vielmehr setzt die individu- 
elle Selbstbestimmung voraus, „daß [sic] dem Einzelnen [die] Entscheidungsfrei- 
heit über vorzunehmende oder zu unterlassende Handlungen einschließlich der 
Möglichkeit gegeben ist, sich auch entsprechend dieser Entscheidung tatsächlich 
zu verhalten“. Damit umfasst das Grundrecht „die Befugnis des Einzelnen, 
über die Preisgabe und Verwendung seiner persönlichen Daten selbst zu bestim- 
men“.°® Sie ist damit als elementare Funktionsbedingung für das freiheitlich- 
demokratische Gemeinwesen zu verstehen, die auf Art. 2 Abs. 1 GG zurückzu- 


t°** und das Hauptinstrument der Datensouveränität darstellt°*5. Dies 


führen is 
schließt die bereits erläuterten Informations- und Auskunftsrechte ebenso ein, 
beispielsweise das Recht auf Korrektur bzw. Richtigkeit der Daten.°* Weiter ist 
als actus contrarius auch der Entzug der Einwilligung in Form des Widerrufes 
vom verfassungsrechtlichen wie funktionalen Verständnis umfasst. All diese ein- 
zelnen, durch die einfachen Gesetze konkretisierten Handlungen dienen dazu, die 
Grundrechtsausübung des Art. 2 Abs. 1 iVm 1 Abs. 1 GG zu ermöglichen oder 
zumindest zu begünstigen. So führen Informationsrechte unter Umständen erst da- 
zu, sich mit den einzelnen Verarbeitungszwecken auseinanderzusetzen und nicht 
in eine nicht erforderliche Verarbeitung einzuwilligen. Teil der (informationellen) 
Selbstbestimmung ist auch die eigenständige Überprüfung und darauf basierend 
das Ausrichten des Handelns. Darüber hinaus wird durch Einwilligung und Wi- 
derruf das eigenständige Verwalten der Rechte zur Datenverarbeitung ermöglicht. 
Wird konträr zum Dargelegten in der Einwilligung ein Grundrechtsverzicht gese- 
hen - erkennt in der Einwilligung also die Aufgabe des Grundrechtsschutzes im 


642 BVerfGE 65, 1 (42) - Einfügungen durch den Bearbeiter. 

643 BVerfG, Beschluss vom 23.10.2006 — Az. 1 BvR 2027/02 —, Rn. 27 nach juris = DuD 2006, 
817 (818 f) unter Verweis auf BVerfGE 65, 1 (43). 

644 BVerfGE 65, 1 (43). 

645 Vgl. Krüger, ZRP 2016, 190 (190). 

646 So auch Rudolf in: Merten/Papier, HGr IV, $ 90, Rn. 46 ff; Gersdorf in: Gersdorf/Paal, BeckOK 
InfoMedienR, Art. 2 GG, Rn. 20, 81 ff. 
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Falle eines bevorstehenden Grundrechtseingriffs — ist dieser Ansatz unter Hin- 
weis auf die bereits in Kapitel C. dargelegten Schutzkonzepte und ein unnötiges 
Überlappen des bereits inkludierten Schutzes der informationellen Selbstbestim- 
mung abzulehnen.’ Dem Grundrecht auf informationelle Selbstbestimmung ist 
ein umfassender status positivus immanent. 


Eine Einwilligung in die Datenverarbeitung muss weiter bestimmte Vorausset- 
zungen erfüllen, die sich nur ansatzweise dem Verfassungsrecht und überwiegend 
dem einfachgesetzlichen Datenschutzrecht entnehmen lassen. Während sich das 
Bundesverfassungsgericht einer Definition entzieht°*, kann nur auf die in der Li- 


649 


teratur°®™ und zunächst den Gesetzgeber ausgeformte Definition zurückgegriffen 


647 Im Punkt der Differenzierung von Grundrechtsverzicht und -gebrauch sind sich die Meinungen 
in der Literatur einig — vgl. Hufen, Staatsrecht II, $ 6, Rn. 42 sowie Fischinger, JuS 2007, 
808 (809); Kloepfer, VerfR II, $ 49, Rn. 69-70; Geiger, NVwZ 1989, 35 (37); ausführlich 
Stern, StaatsR IIV/2, $ 86. Ebenfalls hat sich einheitlich herausgebildet, dass der Begriff des 
Grundrechtsverzichts zunächst fälschlicherweise mit dem Totalverzicht gleichgesetzt wurde — 
Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 1 Abs. 3, Rn. 301. Die 
weitere Differenzierung bewegt sich jedoch im Spektrum zwischen der Gleichsetzung von Ein- 
willigung und Verzicht — so iE Fischinger, JuS 2007, 808 (813); scheinbar auch Kingreen/ 
Poscher, Staatsrecht II, Rn. 193 f und Robbers, JuS 1985, 925 (927) — und einer terminolo- 
gischen Trennung — so Kloepfer, VerfR II, $ 49, Rn. 69-70; Hufen, Staatsrecht II, $ 6, Rn. 
43; Stern, StaatsR IIV2, S. 893 ff, 905 ff. Im Hinblick auf das Persönlichkeitsrecht sowie das 
Grundrecht auf informationelle Selbstbestimmung besteht jedoch, wie angedeutet, auch ein 
status positivus. In dieser Hinsicht braucht es gerade nicht der Terminologie des Verzichts, 
da eine Grundrechtsausübung schon durch das jeweilige Grundrecht mitgeschützt wird — so 
Stern, StaatsR IIV/2, S. 908 sowie Geiger, NVwZ 1989, 35 (37), iE daher differenzierend 
Jarass, NIW 1989, 857 (860). Das Gleichsetzen von Einwilligung und Verzicht, wie es Fi- 
schinger vorschlägt, verkennt die verfassungsrechtliche Dogmatik in diesem Punkt und basiert 
im Schwerpunkt auf Folgerungen des Strafrechts (siehe Fischinger, JuS 2007, 808 (810)), wie 
einst auch Amelung — siehe kritisch in diesem Punkt Stern, StaatsR IIV/2, S. 905 f. Folglich ist 
der Differenzierung von Grundrechtsverzicht und Einwilligung anzuschließen, die Einwilligung 
also als Grundrechtsausübung zu verstehen. So iE auch BVerfG, Beschluss vom 23.10.2006 — 
Az. 1 BvR 2027/02 -, Rn. 27 nach juris = DuD 2006, 817 (818 f); Klement in: Simitis/Hornung/ 
Spiecker gen. Döhmann, DSGVO/BDSG, Art. 7, Rn. 18 f; Di Fabio in: Maunz/Dürig, GG- 
Kommentar, Art. 2 I, Rn. 228 f; vgl. Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 
8 GRC, Rn. 20;Bleckmann, JZ 1988, 57 (60). 

648 Siehe nur BVerfGE 34, 238 (245, 247), wo lediglich das Fehlen einer Einwilligung moniert 
wird. Auch die erneute Auseinandersetzung mit selbiger Materie anlässlich der Überprüfung 
der Volkszählung 2011 greift nur bestehende Judikatur auf und stellt einzelne Kriterien etwas 
deutlicher heraus — siehe BVerfGE 150, 1 (Rn. 218-227) = NVwZ 2018, 1703 (1714 f). 

649 Geiger, NVwZ 1989, 35 (36); Kunig, Jura 1993, 595 (600 f); Jarass, NJW 1989, 857 (860). 
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werden. Dabei ist in der Auslegung auch Art. 8 Abs. 2 GrC zu berücksichti- 
gen, worin die Einwilligung ausdrücklich als eingriffsausschließender Legitimati- 
onsgrund®°° genannt wird, geknüpft an eine entsprechende Zweckbenennung.°°' 
Einfachgesetzlich ist Art. 4 Nr. 11 DSGVO zu betrachten, welcher Ansätze des 


F652? enthält. So statuiert dieser 


nationalen Verständnisses gem. $ 4a BDSG a. 
ebenso, dass die Einwilligung unmissverständlich und in informierter Weise ab- 
gegeben werden muss. Artikel 7 DSGVO erweitert die Definition unter anderem 
um das Kriterium der Freiwilligkeit der Willensbekundung.‘°? Dem Kriterium der 
Informiertheit kommt im Lichte des datenschutzrechtlichen wie verfassungsrecht- 
lichen Transparenzerfordernisses ein definitorischer Schwerpunkt zu und kann in 
der Kenntnis über den Einwilligungsinhalt°* zusammengefasst werden. Davon 
ist das Einwilligungsbewusstsein iSe Erklärungsbewusstseins — also die Kenntnis 
vom Umstand, eine rechtserhebliche Erklärung abzugeben - zu differenzieren.°°> 
Ein Umgang mit den eigenen, personenbezogenen Informationen setzt stets ein 
Verständnis der Weitergabe und der daran gebundenen Folgen voraus. Rekurrie- 
rend auf den Gedanken der Privatautonomie des Art. 2 Abs. 1 GG®° dient diese 


Transparenz — gerade in Missverhältnissen von Wissen oder Machtpositionen 


650 Ganz h.M., siehe Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 8 GrC, Rn. 20; 
Jarass in: Jarass, GrC-Kommentar, Art. 8, Rn. 9; Kühling/Raab in: Kühling/Buchner, DSGVO, 
Einführung, Rn. 29. 

651  Bernsdorff in: Meyer/Hölscheidt, GrC-Kommentar, Art. 8, Rn. 28; Kühling/Raab in: Kühling/ 
Buchner, DSGVO, Einführung, Rn. 29. 

652 § 4a BDSG a.F.: „Die Einwilligung ist nur wirksam, wenn sie auf der freien Entscheidung 
des Betroffenen beruht. Er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder 
Nutzung sowie, soweit nach den Umständen des Einzelfalles erforderlich oder auf Verlangen, 
auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der 
Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll 
die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders 
hervorzuheben.“ 

653 Zu beiden Neuerungen siehe Buchner/Kühling, DuD 2017, 544 (545 f). 

654 Zur Definition im Detail siehe Buchner/Kühling in: Kühling/Buchner, DSGVO, Art. 7 DSGVO, 
Rn. 59; Klement in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 7 DSGVO, 
Rn. 72 f, Heckmann/Paschke in: Ehmann/Selmayr, DSGVO, Art. 7, Rn. 58. Lösungen zur 
Umsetzung der informierten Einwilligung aufzeigend Pollmann/Kipker, DuD 2016, 378 (379 
N). 

655 Zum Begriff Buchner/Kühling in: Kühling/Buchner, DSGVO, Art. 7 DSGVO, Rn. 56 f. 

656 Zur sedes materiae der Privatautonomie siehe Isensee in: Isensee/Kirchhof, HStR VII, $ 150, 
Rn. 57 f. 
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— dazu, Hemmnisse in der Grundrechtsausübung abzubauen und eine selbstbe- 
stimmtere Grundrechtsausübung zu ermöglichen. Weiter entsteht mit dem Vor- 
Augen-Führen der aus der Datenverarbeitung erwachsenden, möglichen Folgen 
auch eine Warnwirkung°’ aufseiten des Einwilligenden; die Konfrontation mit 
dem Einwilligungsgegenstand durch eine „aufgezwungene“ geistige Auseinander- 
setzung fungiert als (vorübergehende) Schwelle. Wie erwähnt, greifen $ 4a Abs. 1 
BDSG a.F. sowie Art. 4 Nr. 11, 7 DSGVO auf die gleichen Grundsätze zurück 
und regeln zum Schutz grundrechtlicher Interessen aufkommende Kollisionen in 
mehrpoligen Verfassungsverhältnissen zwischen Privaten gleichermaßen wie die 
Datenverarbeitung durch öffentliche Stellen kraft Zustimmung. Zu den Gemein- 
samkeiten zählen das faktisch grundsätzliche Schriftformerfordernis°°® gem. $ 4a 
Abs. 1 S.3 BDSG a.F. sowie die expressis verbis freie Entscheidung über die 
Einwilligung im Falle des $ 4a Abs. 3 S. 2 BDSG a.F. In der Gesamtschau der 
Regelungen kommt die zentrale Rolle der Einwilligung bei der Ausübung des 
Grundrechts auf informationelle Selbstbestimmung zur Geltung, deren Voraus- 
setzungen auch nach der Novelle durch die DSGVO keinen minderen Schluss 
zulassen. Trotzdem ist Vorsicht geboten vor einer Aushöhlung der Einwilligung 
bzw. Selbstbestimmung durch das Meiden anderer, ggf. geeigneter Rechtferti- 
gungstatbestände des Art. 6 Abs. 1 DSGVO.” 


657 Vgl. Buchner/Kühling in: Kühling/Buchner, DSGVO, Art. 7 DSGVO, Rn. 59; Heckmann/- 
Paschke in: Ehmann/Selmayr, DSGVO, Art. 7 DSGVO, Rn. 57 f; als Sensibilisierung für 
die Datenverarbeitung/Profilbildung bezeichnend Wenhold, Nutzerprofilbildung durch Web- 
tracking, S. 246. Bislang wurde diese durch die Schriftform der Einwilligung erfüllt, siehe 
Buchner/Kühling in: Kühling/Buchner, DSGVO, Art. 7 DSGVO, Rn. 27; Krohm, ZD 2016, 
368 (369). Mit Wegfall dieser Voraussetzung verlagert sich diese Funktion über auf die Aus- 
drücklichkeit der Einwilligung, wie Heckmann/Paschke in: Ehmann/Selmayr, DSGVO, Art. 7, 
Rn. 36 hervorhebt. 

658 Zumindest kann die Beweislast-Regelung des Art. 7 Abs. 1 DSGVO dahin tendierend gelesen 
werden, dass die Schriftform als rechtssicherste Nachweisform im Grundsatz gewünscht ist. 
Andere Nachweisarten sind jedoch nicht ausgeschlossen. So auch Stemmer in: Wolff/Brink, Be- 
ckOK DatenschutzR, Art. 7 DSGVO, Rn. 89 f, Buchner/Kühling in: Kühling/Buchner, DSGVO, 
Art. 7 DSGVO, Rn. 27; Klement in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, 
Art. 7 DSGVO, Rn. 40. 

659 Kritisch Buchner/Kühling in: Kühling/Buchner, DSGVO, Art. 7 DSGVO, Rn. 10 f, 16 f sowie 
einst Buchner, DuD 2010, 39 (40). 
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Bezugnehmend auf ebendiese gilt es nun, die unterschiedlichen Schutzebenen 
der digitalen Identität in Bezug auf die Einwilligung sowie die bloße Kenntnis 
von der Datenverarbeitung herauszuarbeiten. Dabei sind das Bewusstsein über die 
Datenverarbeitung („Ob“) und die Informiertheit hinsichtlich der Einwilligung 
nicht synonym, sondern ersteres Teil der Informiertheit. Unter Umständen kann 
das Bewusstsein auch erst durch die Information eintreten, gerade wenn es sich 
um eine Auftragsverarbeitung handelt oder eine Datenverarbeitung für den Nutzer 
sonst nicht ersichtlich ist. Aufgrund der engen Verknüpfung von Informiertheit 
und Transparenzgebot (verfassungsrechtlich wie datenschutzrechtlich) geht ein 
mangelndes Wissen über Zweck und Umstände der Datenverarbeitung (‚Wie‘‘661) 
regelmäßig auf einen Mangel an Transparenz zurück, sei es beispielsweise durch 
fehlende Informationen oder Verklausulierungen und nicht wie gefordert „in einer 
klaren und einfachen Sprache“. Umgekehrt können subjektive Faktoren oder 
Expertenwissen ein Informiertsein schon im Vorfeld auslösen. Unabhängig von 
beiden Extremen ist im Grundsatz für die Bewertung der Transparenz die Sicht des 
Durchschnittsadressaten bzw. der beabsichtigten Nutzer- oder Zielgruppe maß- 
geblich.6° Demgemäß können die unternehmerische Transparenz und das tat- 
sächliche Bewusstsein über die Datenverarbeitung auch unabhängig voneinander 
bestehen, wenn der Verantwortliche trotz Kenntnis auf Seiten des Datensubjekts 
nicht seinen Transparenzpflichten nachkommt. Eine bloß subjektive Informiert- 
heit darf sich nicht positiv für den Datenverarbeitenden auswirken, ihn also von 
seiner Verantwortlichkeit — einfachgesetzlich wie in mittelbarer Drittwirkung — 
entbinden. Deshalb ist im Folgenden die bewusste und informierte Einwilligung, 
die informierte Verarbeitung ohne Einwilligung und die sowohl unbewusste als 
auch uninformierte Verarbeitung von digitalen Identitäten zu differenzieren. Eine 
uninformierte Einwilligung ist rechtswidrig und damit nicht einzubeziehen.°* 


660 Ähnlich bezeichnend auch Wenhold, Nutzerprofilbildung durch Webtracking, S. 97. 

661 Ähnlich bezeichnend auch Wenhold, Nutzerprofilbildung durch Webtracking, S. 98. 

662 Art.7 Abs. 1 S. 1 DSGVO. 

663 Vgl. ErwGr 39, 58 DSGVO; Bäcker in: Kühling/Buchner, DSGVO, Art. 12 DSGVO, Rn. 11; 
Quaas in: Wolff/Brink, BeckOK DatenschutzR, Art. 12 DSGVO, Rn. 12, 15. 

664 Heckmann/Paschke in: Ehmann/Selmayr, DSGVO, Art. 7, Rn. 61. 
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Verarbeitung auf Basis einer Einwilligung 


Hat der Grundrechtsträger durch die Information des Diensteanbieters qua Da- 
tenschutzerklärung oder auf anderem Wege einen entsprechenden Kenntnisstand 
erlangt und steht ihm die Möglichkeit der Einwilligung offen, so sind keine Proble- 
me ersichtlich. Dabei wird ebenfalls davon ausgegangen, dass sich keine anderen 
Mängel wie eine Kopplung iSd Art. 7 Abs. 4 DSGVO°® vorliegt; die Rechte der 
Art. 12 ff DSGVO werden ebenfalls gewahrt. Insofern kann die informationelle 
Selbstbestimmung iSd Art. 2 Abs. 1 iVm 1 Abs. 1 GG vollwertig ausgeübt werden. 


Verarbeitung ohne Einwilligung trotz Kenntnis 


Interessanter ist die Situation einer Datenverarbeitung, die mit Kenntnis des 
Grundrechtsträgers vorgenommen wird, es allerdings an einer Einwilligung fehlt. 
Insofern ist der Verantwortliche der Datenverarbeitung nicht von Informations- 
pflichten freigestellt (siehe Art. 13 DSGVO) und muss auch die weiteren Rechte 
der Art. 12 ff DSGVO grundsätzlich vorsehen. Sodann ist auf die verbleibenden 
Rechtfertigungsgründe im Datenschutzrecht zurückzugreifen, da es sich dennoch 
um eine Beeinträchtigung des Grundrechts auf informationelle Selbstbestimmung 
handelt. Im Folgenden sind daher geeignete Rechtfertigungsgründe zur Erhebung 
und Verarbeitung digitaler Identitäten überblickshaft darzustellen. 


Zunächst kann eine solche Konstellation bei einer Datenverarbeitung zum Zwe- 
cke der Vertragserfüllung iSd Art. 6 Abs. 1 lit. b DSGVO auftreten. Der Umstand 
der Vertragserfüllung ist dabei weit zu definieren, sodass sowohl die Datenver- 
arbeitung im Wege einer Vertragsanbahnung sowie zur Erfüllung von Neben- 
und Rücksichtnahmepflichten ebenfalls darunter zu subsumieren sind. Einem 
Kunden ohne Nutzerkonto eines Online-Shops ist bei der Bestellung regelmäßig 
bewusst, dass die Adresse zu Versand und Empfang der Bestellung notwendig 


665 Zum Begriff Klement in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 7 
DSGVO, Rn. 57 f, Ernst, ZD 2017, 110 (111). Ausführlich hierzu Engeler, ZD 2018, 55 (58 
ff). 

666 Albers/Veit in: Wolff/Brink, BeckOK DatenschutzR, Art. 6 DSGVO, Rn. 40 ff; Wilmer in: 
Jandt/Steidle, Datenschutz im Internet, B.I., Rn. 31. 
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ist. Anderenfalls kann das Vertragsverhältnis nicht erfüllt werden. Jedoch darf es 
sich aus Gründen der Datensparsamkeit sowie des Wortlautes des Art.6 Abs. 1 
lit. b DSGVO lediglich um erforderliche Daten handeln — Vorlieben oder zuletzt 
betrachtete Artikel sind demnach nicht zu speichern, außer es ist für die laufende 
Browsing-Session notwendig. In letzterem Fall würde für den Nutzer ein sog. 
Session Cookie angelegt werden, wenn z.B. in besagtem Online-Shop der ge- 
füllte Warenkorb auch kurzzeitig nach dem Verlassen der Webseite fortbestehen 
soll.” Durch dieses Hilfsmittel wird der Nutzer auch beim erneuten Besuch 
wiedererkannt. Dennoch müssen die Daten (z.B. die dazugehörige Cookie-ID) 
anschließend gelöscht werden. Sie dürfen unter diesem Zweck nicht außerhalb der 
Session zur Analyse und Auswertung zur Einblendung personalisierter Werbung 
verwendet werden.6°® 


Des weiteren kann ein Anlegen und Nutzen der digitale Identität dann gerecht- 
fertigt sein, wenn der Verantwortliche die Daten zur Erfüllung einer normierten 
oder auferlegten rechtlichen Verpflichtung verarbeitet, Art. 6 Abs. 1 lit. c DSGVO. 
Damit wirkt die Norm nicht selbst als Rechtfertigungsgrund, sondern fungiert nur 
als Einfallstor für das Datenschutzrecht der Mitgliedsstaaten oder übrige Regelun- 
gen innerhalb der DSGVO.‘° Die mitgliedsstaatliche Regelung muss allerdings 
ein Ziel von öffentlichem Interesse verfolgen und in einem angemessenen Ver- 
hältnis zum verfolgten legitimen Zweck stehen (Art. 6 Abs. 3 S.4 DSGVO), also 
verhältnismäßig sein. Als Beispiel kann hier die Erfüllung der Speicher- und 
Meldepflichten zur Telekommunikationsüberwachung aufseiten der Telekommu- 
nikationsdiensteanbieter genannt werden, wenn bei Vertragsschluss die Identitäts- 
nachweise einschließlich personenbezogener Daten gem. $ 172 Abs. 2 TKG beim 


667 Hellmann, IT-Sicherheit, S. 156 f; Eckert, IT-Sicherheit, S. 154 f. 

668 Vgl. auch das Rückspielverbot des ErwGr 162 S. 5 DSGVO - siehe hierzu BVerfG NVwZ 2018, 
1703, Rn. 225. 

669 Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 83. 


156 


I. Informationelle bzw. datenmäßige Betrachtungsweise 


Telekommunikationsdiensteanbieter hinterlegt werden. Die dabei erhobenen per- 
sonenbezogenen Daten werden mithin zum Zweck der Strafverfolgung und Gefah- 
renabwehr, also zum Schutz der Bevölkerung und damit im öffentlichen Interesse, 
verarbeitet und dienen nicht der anlasslosen Vorratsdatengewinnung.”® 


Weitaus umfangreichere Aufmerksamkeit kommt dagegen Art. 6 Abs. 1 lit. e sowie 
lit. f DSGVO zu. Um eine Rechtfertigung für eine Datenverarbeitung mit Kenntnis 
des Grundrechtsträgers anzunehmen, muss diese nach lit. e zur Wahrnehmung ei- 
ner Aufgabe im öffentlichen Interesse erfolgen. Im Fokus stehen daher öffentliche 
verantwortliche Stellen oder nicht-öffentliche, private Stellen mit entsprechen- 
der Aufgabenzuteilung (z.B. Beleihung oder Auftragsverwaltung). Hierunter ist 
unter anderem die Datenverarbeitung zum Zwecke der Wahlwerbung zu fassen, 
sofern sie den demokratischen Zielen des Art. 38 Abs. 1 S. 1 GG dienlich ist.°”! 
Dabei sind die datenschutzrechtlichen Prinzipien wie die Unverkettbarkeit oder 
andere Aspekte der Datenminimierung zu berücksichtigen.°’? Mit Blick auf den 
Datenschutz-Vorfall um Cambridge Analytica, deren umfangreiche Datensätze 
auch zur Wahlwerbung im persönlichen Gespräch genutzt wurden, °”3 ist die perso- 
nalisierte Wahlwerbung bei Berücksichtigung der Grundsätze auszuschließen. °’* 
Ebensowenig darf im Anschluss an die Wahl die auf Basis der Wahlwerbung 
erstellte Datei durch weitere Daten, z.B. durch Verknüpfung mit der tatsächlich 
abgegebenen Stimme oder Dokumentieren von angeklickter Wahlwerbung, er- 
weitert und mit angereicherten Profilen versehen werden.°’° Dies widerspricht 
insbesondere dem Grundsatz der geheimen Wahl gem. Art. 38 Abs. 1 1 GG, wenn 


670 BVerfGE 130, 151 (187, 191). 

671 ErwGr 56 DSGVO. Vgl. auch Petri in: Simitis/Hornung/Spiecker gen. Döh- 
mann, DSGVO/BDSG, Art. 9 DSGVO, Rn. 68. 

672  Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 115. 

673 Siehe hierzu https://netzpolitik.org/2018/wie-facebook-betroffene-ueber-den-datenfluss-a 
n-cambridge-analytica-informiert/; https://www.nytimes.com/2018/03/17/us/politics/cambri 
dge-analytica-trump-campaign.html. 

674 Hierzu ausführlich Söbbing, InTeR 2018, 182 (184 ff) sowie Radke, K&R 2020, 479 ff. 

675 Ähnlich der durch die Österreichische Datenschutzbehörde beschiedene Fall in Bezug auf die 
Empfängerprofile der österreichischen Post — siehe zusammenfassend https://netzpolitik.org/ 
20 19/datenschutzgrundverordnung- 18-millionen-euro-strafe-fuer-die-oesterreichische-post/. 
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der Verarbeitungszweck die Vorhersagbarkeit der Wahl ermöglicht. Höchstens ei- 
ne stark anonymisierte Statistik ist möglich, um auch die bereits erläuterte record 
linkage®’° zu vermeiden. Dazu trägt letztlich auch bei, die Daten „spätestens ei- 
nen Monat nach der Wahl oder Abstimmung zu löschen oder zu vernichten“, $ 50 
Abs. 1 S. 3 BMG. 


Zuletzt und umfangreich soll zu diesem Komplex Art. 6 Abs. 1 lit. f DSGVO 
— die Datenverarbeitung bei berechtigtem Interesse — am Beispiel des Trackings 
analysiert werden. Allgemein setzt diese Norm ein berechtigtes Interesse des 
Verantwortlichen oder Dritten voraus, welches die Interessen des Betroffenen 
bzw. Grundrechtsträgers überwiegt. Letzteres meint in der Regel das Grund- 
recht auf informationelle Selbstbestimmung, dem von vornherein schon eine hohe 
Schutzwürdigkeit zukommt.°’’ Dieser Rechtfertigungsgrund in Form einer Inter- 
essenabwägung ist daher gegenüber anderen Rechtfertigungsgründen des Art. 6 
Abs. 1 DSGVO iSe Auffangvorschrift und restriktiv anzuwenden.’® Dennoch 
kann der Verantwortliche Interessen rechtlicher, tatsächlicher, wirtschaftlicher, 
künstlerischer oder ideeller Art vorbringen und so auf einen weiten Tatbestand 
zurückgreifen.°”° Diese finden sich dementsprechend in Grundrechten des Ver- 
antwortlichen, wie jene des Art. 12 Abs. 1, 14 Abs. 1 GG in unternehmerischen 
Belangen oder Art. 5 Abs. 1 S. 1 Alt. 1 und S. 2 Alt. 1 sowie 2 GG.°®" Weitere 
Interessen finden sich in den Beispielen des Erwägungsgrundes 47 S. 2, 6 und 7 


676 Siehe S. 140. 

677 Noch Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 148; mit Blick auf 
das Unionsrecht auch Richter in: Jandt/Steidle, Datenschutz im Internet, B.II., Rn. 65 f sowie 
Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 148. Vgl. Schantz in: Simitis/ 
Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 6 IDSGVO, Rn. 101; Wenhold, Nut- 
zerprofilbildung durch Webtracking, S. 257. 

678 ErwGr 47 DSGVO; Kühling/Klar/Sackmann, Datenschutzrecht, Rn. 410. Vgl. zur Wahl- 
möglichkeit ggü. der Einwilligung Schantz in: Simitis/Hornung/Spiecker gen. Döh- 
mann, DSGVO/BDSG, Art. 6 IDSGVO, Rn. 88 f. 

679  Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 146a; Schantz in: Simitis/ 
Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 6 IDSGVO, Rn. 98; Richter in: Jandt/ 
Steidle, Datenschutz im Internet, B.I., Rn. 59. Vgl. auch ErwGr 47 DSGVO. 

680 Schantz in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 6 I DSGVO, Rn. 
98 mwN; Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 147. 
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sowie in technischer Hinsicht Erwägungsgrund 49 DSGVO. Alle Interessen wer- 
den jedoch durch eine umfangreiche Verhältnismäßigkeitsprüfung eingeschränkt, 
in die auch die datenschutzrechtlichen Grundprinzipien des Art. 5 Abs. 1 DSGVO 
sowie Art. 2 Abs. 1 iVm 1 Abs. 1 GG, Art. 8 GrC einzubeziehen sind. Folglich 
finden die Prinzipien von Treu und Glauben sowie Transparenz, Zweckbindung, 
Datenminimierung und Speicherbegrenzung als auch der Schutz der Integrität und 
Vertraulichkeit der Daten Anklang.°®! Als Voraussetzung der Datenminimierung, 
welche die Reduktion der Datenerhebung und Verarbeitung auf das zur Zweck- 
erfüllung Nötige fordert‘®, und in engem Zusammenhang mit der Zweckbin- 
dung‘®?, bedarf es einer Verhältnismäßigkeitsprüfung einschließlich besonderer 
Kriterien der Erforderlichkeit. Danach entfällt eine Rechtfertigung schon dann, 
wenn sich der beabsichtigte Zweck durch eine weniger invasive Datenverarbei- 
tung erfüllen lässt.6°* Eine umfangreiche Profilbildung im Rahmen einer digitalen 
Identität widerspricht dem Schutz der Rechte und Freiheiten des Betroffenen: Je 
granularer das Profil, desto erheblicher der Eingriff und unverhältnismäßiger bzw. 
argumentationsbedürftiger erscheint grundsätzlich die Datenverarbeitung. Dies ist 
jedoch einzelfallabhängig, da nicht jegliche Profilbildung durch das Datenschutz- 
recht untersagt ist.°® Um dies zu skizzieren, ist am Beispiel des Webtrackings die 
Vereinbarkeit von Informiertheit und Datenverarbeitungsvorgängen zu betrachten. 


681 Zum Anwendungsmodus der Prinzipien als Interpretationslinie und Strukturprinzip einer ob- 
jektiven Ordnung siehe Roßnagel, ZD 2018, 339 (344). 

682 Schantzin: Wolff/Brink, BeckOK DatenschutzR, Art. 5 DSGVO, Rn. 25-26; Herbst in: Kühling/ 
Buchner, DSGVO, Art. 5 DSGVO, Rn. 57. 

683 Herbst in: Kühling/Buchner, DSGVO, Art. 5 DSGVO, Rn. 56. 

684 Schantz in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 6 IDSGVO, Rn. 
100; Roßnagel, ZD 2018, 339 (340 f). 

685  Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 153, jedoch auf eine star- 
ke Tendenz zum Überwiegen der Betroffenenrechte hindeutend Buchner/Petri in: Kühling/ 
Buchner, DSGVO, Art. 6 DSGVO, Rn. 153. 
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Unter (Web-)Tracking kann jede Datenverarbeitung verstanden werden, die durch 
fortwährende Datenerhebung über zeitliche und technische Grenzen hinweg In- 
formationen speichert und zusammenführt, um sie dann einem bestimmten Ver- 
arbeitungszweck zuzuführen.°®° Als Unterart hierzu zählen unter anderem das 
Retargeting und (Behavioral) Microtargeting. Retargeting weist mit dem Präfix 
„Re-“ schon darauf hin, dass bereits ein Targeting stattgefunden haben muss 
und auf der gleichen Webseite zu einem späteren Zeitpunkt oder über andere 


687 und Cross-Device- 


Webseiten bzw. Endgeräte hinweg (sog. Cross-Domain- 
Tracking‘®®) ein erneutes Targeting — also ein zielgerichtetes und personalisiertes 
Ausspielen von Webinhalten (z.B. Werbung) - stattfindet. Dies geschieht regelmä- 
Big über Wiedererkennungsmerkmale wie Werbe-IDs oder andere Praktiken.°® 
Microtargeting zeichnet sich dagegen dadurch aus, dass es bei seiner Analyse gro- 
Ber Mengen personenbezogener Daten zur Erstellung von Persönlichkeitsprofilen 
bzw. digitalen Identitäten eine hohe Granularität des Profils beabsichtigt. Dadurch 
können beispielsweise Charakteristika oder kognitive und voluntative Schwächen 
prognostiziert werden.” Nanotargeting ist dabei die Steigerung des Microtarge- 
tings, zielt also direkt auf einzelne Nutzer und baut auf Profilen mit besonders 
hoher Granularität auf.°”! Die Unterarten zeichnen jedoch nur bestimmte Her- 
angehensweisen aus, eignen sich in Kombination oder auch einzeln angewendet 
zu verschiedensten Zwecken. So kann das Tracking dazu dienen, statistische Er- 
hebungen über die Besucher einer Webseite zu ermöglichen und die Reichweite 
der eigenen Plattform zu maximieren. In diesem Fall könnte es sich bei einem 
berechtigten Interesse des verantwortlichen Unternehmens aus Art. 12 Abs. 1 GG 


686  Wenhold, Nutzerprofilbildung durch Webtracking, S. 48 f; Jandt in: Jandt/Steidle, Datenschutz 
im Internet, A.I., Rn. 34; Schleipfer, ZD 2017, 460 (461). 

687 Jandt in: Jandt/Steidle, Datenschutz im Internet, A.I., Rn. 34 sowie Jandt, PinG 2019, 145 
(146). 

688 Hierzu Ouinnetal., White Paper Tracking, S. 14 f; Jandt in: Jandt/Steidle, Datenschutz im 
Internet, A.I., Rn. 34 sowie Jandt, PinG 2019, 145 (146); Venzke-Caprarese, DuD 2017, 577 
(578); Hanloser, ZD 2018, 213. 

689  Venzke-Carparese, DuD 2018, 156 (158); Baumgartner/Hansch, ZD 2020, 435 (435). Aus- 
führlicher mit Beispielen Venzke-Caprarese, DuD 2017, 577. 

690 Ebers, MMR 2018, 423 (423 f); Quinn etal., White Paper Tracking, S. 15 f. 

691 Siehe Gonzdlez-Cabanas etal., Unique on Facebook: Formulation and Evidence of (Na- 
no)targeting Individual Users with non-PlI Data, S. 6, 10 f. 
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handeln, um das eigene Angebot zu optimieren. Eine anonyme oder pseudonyme, 
statistische Reichweitenanalyse ähnelt dann einer einfachen Kundenumfrage zur 
Zufriedenheit mit dem Angebot.” Andererseits wird das Tracking dazu verwen- 
det, personalisierte Werbung zu generieren oder auf Basis der erhobenen Daten 
(nutzerspezifische) Preise zu berechnen. Beide Formen basieren im Regelfall auf 
einer Profilbildung auf Basis personenbezogener Daten. Grundsätzlich besteht ein 
proportionales Verhältnis zwischen dem berechtigten Interesse des Unternehmens 
zum Anlegen einer digitalen Identität und dem grund-/datenschutzrechtlichen In- 
teresse des Datensubjekts, sodass Letzteres zunimmt, je aussagekräftiger und 
umfangreicher der Datensatz ist.’ Ebenso muss in die Abwägung einbezogen 
werden, ob mit derartigen Maßnahmen aufseiten des Betroffenen der Datenver- 
arbeitung vernünftigerweise gerechnet werden kann.°”* So besteht durchaus die 
Möglichkeit, bei einer länger andauernden Kundenbeziehung das Überwiegen 
des berechtigten Interesses des Unternehmens bzgl. der Direktwerbung anzuneh- 
men.” Eine derartige personalisierte Werbung iSe direkten Ansprache unter Ver- 
wendung personenbezogener Daten (Name, Adresse) - sog. Direktwerbung®” - ist 
im Einzelfall als berechtigtes Interesse zu sehen, das aufgrund Erwägungsgrund 
47 S. 7 DSGVO keiner ausführlichen Abwägung bedarf. Zudem ist anzumer- 
ken, dass dies den Direktwerbenden nicht von weiteren datenschutzrechtlichen 
Pflichten wie der Information über das Widerspruchsrecht gem. Art. 21 DSGVO 
entbindet.°” Gleichermaßen sind — ohnehin im Rahmen der Abwägung des Art. 6 


692 Vgl. Venzke-Carparese, DuD 2018, 156 (157 f). 

693  Albers/Veit in: Wolff/Brink, BeckOK DatenschutzR, Art. 6 DSGVO, Rn. 72; Buchner/Petri in: 
Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 151, 153. 

694 ErwGr 47 S. 1 und 3 f DSGVO. So auch Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 
6 DSGVO, Rn. 152; Ehmann in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, 
Anlage 3 zu Art. 6 DSGVO, Rn. 31; Wenhold, Nutzerprofilbildung durch Webtracking, S. 254 
f; vgl. Ernst, JZ 2017, 1026 (1035). 

695 So Ehmann in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Anhang 3 zu Art. 6 
DSGVO, Rn. 26. 

696 Ausführlich zum Begriff siehe Ehmann in: Simitis/Hornung/Spiecker gen. Döh- 
mann, DSGVO/BDSG, Anlage 3 zu Art. 6 DSGVO, Rn. 18 f. 

697 Siehe Art. 12 Abs. 1 S. 1 sowie Abs. 2 1 iVm 21 Abs. 2DSGVO. Ausführlich den fortbestehenden 
Informationspflichten im Plath/Grages, CR 2018, 777 f, 778 f. 
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Abs. 1 lit. f DSGVO - die Maßstäbe des Art. 5 Abs. 1 DSGVO zu berücksichti- 
gen. Die darin enthaltene Erforderlichkeit der Datenspeicherung sowie der damit 
überschneidende Grundsatz der Datenminimierung deuten jedoch an, dass eine 
dahingehende Granularität zur persönlichen Ansprache dem Zweck der Norm‘?® 
und letztlich auch verfassungsrechtlichen Datenschutz-Prinzipien widerspricht. 
Wird die digitale Identität, die beim Besuch von Online-Vergleichsportalen ange- 


d 699 


legt wir: mit personenbezogenen Daten wie An- und Abreisedatum oder der 


Anzahl der Kinder verknüpft’” 


und auf Basis dieses Profils ein personalisierter 
bzw. individualisierter Preis festgelegt, handelt es sich unter Umständen um die 
durch Art. 22 Abs. 1 DSGVO erläuterte automatisierte Einzelentscheidung auf 
Basis des Profilings. Schließlich kann dieses Ergebnis des Algorithmus eine er- 
hebliche rechtliche Wirkung entfalten, wenn der Betroffene gegenüber anderen 
Nutzern des Portals diskriminiert und folglich in das Recht aus Art. 3 Abs. 1, Abs. 3 
GG und Art. 21 Abs. 3 GrC eingegriffen wird.’! Dies geschieht exemplarisch 
dann, wenn der Verbraucher bzw. Betroffene der Datenverarbeitung ausschließ- 
lich den Preis wählen kann, den das Portal individuell und automatisiert für ihn 
bestimmt hat und eine Abweichung nur mit technischem Spezialwissen und desto 
unverhältnismäßigem Aufwand möglich ist. Hiergegen könnte zwar Argument des 


698 Ehmann in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Anhang 3 zu Art. 6 
DSGVO, Rn. 29 aE. 

699 Diese kann beispielsweise auch in der sog. Werbe-ID bestehen, welche mit fortwährender 
Nutzung von Smartphones genutzt und mit Drittanbietern geteilt wird. Diese besteht sowohl in 
Betriebssystemen des Unternehmens Apple GOS) sowie Google (Android). In Kombination mit 
weiteren Daten, die durch das Aufrufen und Nutzen von Apps mit Verwendung der Werbe-ID 
entstehen, bildet sich ein sehr detailreiches und wiedererkennbares Benutzer-Abbild — besagte 
digitale Identität — ab. Siehe hierzu Privacy International, How Apps on Android Share Data 
with Facebook (even if you don’t have a Facebook account), S. 7 f, 13 f sowie den folgenden 
Absatz im Detail. 

700 Siehe Privacy International, How Apps on Android Share Data with Facebook (even if you 
don’t have a Facebook account), S. 14/15. 

701 Vgl. Caspar, PinG 2019, 1 (2); Tillmann/Vogt, VuR 2018, 447 (450); Golland, CR 2020, 186 
(192); Quinn etal., White Paper Tracking, S. 16. Dagegen ablehnend Hofmann/Freiling, ZD 
2020, 331 (335). Zumindest besteht ein hinreichender Vorbehalt derartiger inidividualisierter 
Preisbildung (sog. Algorithmic Pricing), so Paal, GRUR 2019, 43 (48). Die Zweifel an der 
Existenz und Durchsetzbarkeit solcher Verfahren, die Körber, NZKart 2016, 303 (308) und 
Tillmann/Vogt, VuR 2018, 447 (448) hegen, erscheinen wegen ansatzweiser Nachweisbarkeit 
nunmehr irrelevant. 
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Wohlfahrtseffekts angeführt werden. Durch die individuelle Preisbindung werden 
gerade wirtschaftlich schwächeren und weniger attraktiven Kundenkreisen an- 
gemessene Preise angeboten, wohingegen finanzstärkeren Kunden entsprechend 
höhere Preise berechnet werden.’ Dieser gesamtgesellschaftliche Zweck kann 
jedoch nicht über die diesen Algorithmen anhaftende mangelnde Transparenz 
hinweghelfen, welche sowohl die Nachvollziehbarkeit der Preisbildung als auch 
daran geknüpften Rechte gem. Art. 22 Abs. 3 DSGVO betreffen.” Dabei ist 
schon fraglich, inwieweit sich eine derartige Verarbeitung mit den engen Ausnah- 
men des Art. 22 Abs. 2 DSGVO vereinen lässt oder ob auf die unternehmerischen 
Interessen des Art. 6 Abs. 1 lit. f DSGVO zurückgegriffen werden kann.” Je- 
denfalls äußert sich eine derartige algorithmische Voreingenommenheit als Malus 
der Privatautonomie des Art. 2 Abs. 1 GG’®, wenn eine freie Einwirkung auf 
den Vertragsschluss kaum noch möglich ist. Beispiels können sich datensparsame 
Internet- und Plattformnutzer dieser Praxis kaum oder nur schwer entziehen, er- 
leiden möglicherweise Nachteile durch ein Aussperren von diesen Plattformen.’ 
Dies ist allerdings nur in Extremfällen anzunehmen, weshalb es stets einer Ein- 


f 707 


zelfallprüfung bedar Offen bleibt außerdem, ob ein derartiges „Verstecken“ 


702 Hofmann, WRP 2016, 1074 (1074, 1080 ff). Vgl. auch Tillmann/Vogt, VuR 2018, 447 (448 f); 
Obergfell, ZLR 2017, 290 (294). Zu diesem und weiteren Vorteilen Golland, CR 2020, 186 
(189). 

703 Ernst, JZ 2017, 1026 (1034 f); Paal, GRUR 2019, 43 (49); Ernst, JZ 2017, 1026 (1035). 

704 Schließlich muss nicht stets ein Profiling vorliegen, das Art. 22 DSGVO auslöst. Zumindest 
unter Vorbehalt bei Art. 6 Abs. 1 lit. f DSGVO diskutierend Roßnagel in: Simitis/Hornung/ 
Spiecker gen. Döhmann, DSGVO/BDSG, Art. 6 DSGVO, Rn. 42. Den Einwilligung gem. 
Art. 6 Abs. 1 lit. aDSGVO - und damit letztlich auch jene des Art. 22 Abs. 1 — hinterfragend 
Hofmann/Freiling, ZD 2020, 331 (335). 

705 Hierzu nur Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2 I, Rn. 101. Vgl. Preisgestaltung 
Golland, CR 2020, 186 (190). 

706  Obergfell, ZLR 2017, 290 (295); vgl. Ernst, JZ 2017, 1026 (1034 f). 

707 So auch Tillmann/Vogt, VuR 2018, 447 (450) und Golland, CR 2020, 186 (192). 
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des eigentlichen Preises auch die Informationsfreiheit des Art. 5 Abs. 1 S. 1 Alt. 2 
GG beeinträchtigt. "S 


Eine Datenverarbeitung zur Erstellung und Erweiterung digitaler Identitäten kann 
also im Einzelfall gem. Art. 6 Abs. 1 lit. f DSGVO auch vom berechtigten 
(rechtlichen, wirtschaftlichen oder ideellen) Interesse des Datenverarbeitenden 
gedeckt sein, obschon es an einer Einwilligung mangelt. Der weiten Formulierung 
widerfährt durch Hineinlesen der Grundprinzipien des Datenschutzrechts’” so- 
wie der Verhältnismäßigkeitsprüfung expressis verbis eine Begrenzung, die den 
Schutz der Grundrechte und Grundfreiheiten der Inhaber digitaler Identitäten 
in den Mittelpunkt stellt. Eine Einwilligung ist damit nicht zwingend notwendig, 
entbindet allerdings nicht allumfassend von Informations-, Auskunfts- und Wider- 
spruchsrechten. Der Schutz des verfassungsrechtlichen wie einfachgesetzlichen 
Datenschutzrechts besteht folglich auch in gezeigten Situationen fort. 


Verarbeitung ohne Kenntnis und Einwilligung 


Unter der eingangs aufgeworfenen Fragestellung ist nunmehr abschließend zu un- 
tersuchen, wie der Schutz der digitalen Identität ohne Kenntnis oder Einwilligung 
ausgestaltet ist. Ohne Kenntnis meint hier ohne Bewusstsein über den bloßen Fakt 
des Bestehens, Anlegens oder jeglicher sonstiger Datenverarbeitung (also „Ob“). 
Es mangelt damit kausal schon an der Informiertheit über das Kriterium der Ein- 
willigung (vgl. Art. 4 Nr. 11 DSGVO) hinaus. Nicht zwingend geht damit das 
Entfallen der Transparenz einher, da auch die Möglichkeit eines Dispens von den 


708 Dafür spricht zumindest, dass der Begriff der Informationsquelle iSd Grundrechts weit zu 
verstehen ist und sämtliche Informationsträger einschließt — so Kühling in: Gersdorf/Paal, Be- 
ckOK InfoMedienR, Art. 5 GG, Rn. 40. Zweckmäßig kann ein Vergleichsportal auch dazu 
dienen, einen Überblick über die Wettbewerber und aktuelle Angebote zu erhalten oder sich 
einen Überblick über Bewertungen zu verschaffen. Insofern erscheint der Gedanke nicht ab- 
wegig — zumindest zum Bewertungsaspekt siehe vgl. Boehme-Neßler, K&R 2016, 637 (639). 
Die Beeinträchtigung ergibt sich jedoch nur zwischen Privaten, sodass sie nur im Rahmen der 
mittelbaren Drittwirkung geltend gemacht werden kann. Wahrscheinlicher ist jedoch, dass die 
Diskriminierung von verschiedenen Wettbewerbern durch das Vergleichsportal Gegenstand des 
Kartellrechts wird — hierzu vgl. Paal, GRUR 2019, 43 (44, 48 f). 

709 Vgl. Roßnagel, ZD 2018, 339 (343, 344) hinsichtlich derer aus Art. 5 Abs. 1 DSGVO. 
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datenschutzrechtlichen Informations- und Aufklärungspflichten besteht. In diesen 
Fällen hat der Gesetzgeber die auf verfassungsrechtlicher Ebene vorzunehmende 
Abwägung kollidierender Rechtsgüter — vorliegend unternehmerische und persön- 
lichkeitsrechtliche Interessen — bereits vorgenommen und durch die Normierung 
Kollisionen ausgemerzt, abgemildert oder auf andere Entscheidungsträger (z.B. 
Verwaltungsbehörden) verlagert.’!" Einen derartigen Dispens hat der Gesetzgeber 
allerdings nur fallspezifisch vorgesehen, in Abhängigkeit von der Art und Weise 
der Erhebung personenbezogener Daten. Unter anderem entfällt die Informations- 
pflicht gem. Art. 13 Abs. 4, 14 Abs. 5 lit. a DSGVO nach einer Datenerhebung 
beim Datensubjekt, wenn er/sie bereits Kenntnis von der Erhebung hat. Erfolgt 
die Erhebung nicht beim Datensubjekt bedarf es gem. Art. 14 Abs. 5 lit. b, 12 
Abs. 2 S. 2 iVm 11 Abs. 2 DSGVO dagegen faktischer Hürden, die eine Infor- 
mation unmöglich machen oder zumindest mit unverhältnismäßigem Aufwand 
verbunden sind. Die damit nur vereinzelt mögliche Freistellung von Auskunfts- 
und Informationspflichten bestätigt die im Rahmen der verfassungsrechtlich wie 
datenschutzrechtlich vorgesehenen Notwendigkeit der Transparenz der Daten- 
verarbeitung. Selbst wenn es sich um eine Verarbeitung zu wissenschaftlichen 
Zwecken handelt, besteht nur eine Freistellung von Lösch- und Auskunftspflich- 
ten gem. Art. 89 Abs. 2 DSGVO und berücksichtigt so die Forschungsfreiheit 
des Art. 5 Abs. 3 S. 2 Alt.2 GG. Die bewusste, aktiv ausgeübte Information als 
Teil der Transparenz ist folglich von hohem Stellenwert, sodass sie auch nicht bei 
einem berechtigten Interesse des Verarbeitenden entfällt. 


Eine digitale Identität wie das sog. „shadow profile“ (dt. Schattenprofil), das ohne 
eine ausreichende Information des Inhabers des analogen Pendants angelegt wird, 
bewegt sich folglich am Rande der datenschutzrechtlichen Rechtmäßigkeit.’'! Die 
Existenz dieser Variante der digitalen Identität, die sich zunächst nur als Phäno- 
men in den Anfragen von Max Schrems an Facebook und dem anschließenden 


710 Vgl. Bäcker in: Kühling/Buchner, DSGVO, Art. 12 DSGVO, Rn. 4 sowie Art. 13 DSGVO, Rn. 
8 f. 
711 Vgl. Jarass, NIJW 1989, 857 (860). 
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Verfahren abzeichnete’!?, bestätigt sich nunmehr in der informatischen Litera- 
tur’ und letztlich auch in der Befragung von Mark Zuckerberg im Jahr 201874. 
So beschreibt Garcia: „Shadow profiles could be constructed without permission 
or knowledge of the person who is being profiled, who might not be a user nor 
agree to the terms of the online service that builds the profile.“ Dabei führt er 
erste Anzeichen für Schattenprofile auf eine Sicherheitslücke bei Facebook im 
Jahr 2013 zurück, die Verknüpfungen zwischen hochgeladenen Telefonbüchern 
und den darin gespeicherten Personen bzw. Telefonnummern offenlegte.’'® Ei- 
ne weitere „Sicherheitslücke“, die bereits 2011 Hinweise hierfür lieferte, nutzte 
Max Schrems mit seinem Auskunftsersuchen bei Facebook und gelangte an ei- 
ne digitale und ungekürzte Kopie seines Datensatzes. Darin zeigten sich die von 
Garcia erwähnten Verknüpfungen, sowie weitere: Unter anderem wurden auch 
gelöschte Postings, jedes Like und Dislike mit Zeitstempel sowie private Kom- 
munikation — auch nach einem Löschvorgang — von Facebook aufbewahrt. ’'® Bei 
den Daten über ihn selbst handelt es sich nicht um ein Schattenprofil, sondern 
um eine digitale Identität. Hingegen sind die Daten von Dritten innerhalb seines 
Datensatzes, die mit weiteren Informationen in dem Datensatz verknüpft sind, 
ebensolche Schattenprofile. Diese wiederum nutzt Facebook beispielsweise, um 
potentielle Facebook-Freunde anzubieten und die Nutzer-Netzwerke zu erwei- 
tern’!7, verwendet sie also zur Verbesserung seines Dienstes und damit innerhalb 
des berechtigten Interesses des Art. 6 Abs. 1 lit. f DSGVO. Dem steht jedoch 


712 Ein Überblick sowie Auszüge aus dem Original-Datensatz finden sich unter http://www.europe 
-v-facebook.org/DE/Datenbestand/datenbestand.html. 

713  Bodaetal., User Tracking on the Web via Cross-Browser Fingerprinting, S. 31 ff; Olejnik/ 
Castelluccia/Janc, Annals of Telecommunications 2014, 63 ff; Cao/Li/Wijmans, Network & 
Distributed System Security Symposium 2017, 1 ff; Venkatadri et al., Proceedings on Privacy 
Enhancing Technologies 2018, 1 ff, Garcia, Science Advances 2017, 1 ff, Masood et al., Procee- 
dings on Privacy Enhancing Technologies 2018, 122 ff. 

714 Siehe https://www.youtube.com/watch?v=PzHLwkceSc_s. 

715 Garcia, Science Advances 2017, 1. 

716 Siehe http://www.europe-v-facebook.org/DE/Datenbestand/datenbestand.html unter Nr. 30 
„Minifeed“, Nr. 45 „Realtime Activities“, Nr. 29 „Messages“ sowie das Dokument mit „ge- 
löschten“ Daten unter http://www.europe-v-facebook.org/removed_content.pdf. 

717 Siehe die AGB von Facebook unter https://de-de.facebook.com/legal/terms?locale=de_DE& 
_fb_noscript=1, insbesondere den Abschnitt „Wir verbinden dich mit Menschen und Organi- 
sationen, die dir wichtig sind“. 
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schon auf Ebene des grundgesetzlichen Datenschutzes gem. Art. 2 Abs. 1 iVm 1 
Abs. 1 GG sowie dem aus Art. 7, 8 GrC die Transparenz und konkret die Infor- 
miertheit des Dritten entgegen. Für den Betroffenen besteht nicht die Möglichkeit 
der Verweigerung der Datenweitergabe an Werbeunternehmen, ebensowenig wie 
die Löschung oder ein Widerruf einer (vermeintlichen) Einwilligung. All diese 
Rechte setzen voraus, dass der Betroffene zumindest Kenntnis von der Daten- 
verarbeitung hat. Von einer Kenntnis kann allerdings nicht ausgegangen werden, 
wenn Daten zum Zwecke der Zwei-Faktor-Authentifizierung an einen Dienstean- 
bieter gegeben werden, welcher sie darüber hinaus und entgegen dem bekannten 
bzw. zu erwartenden und vereinbarten Zweck auch zur Verknüpfung mit weiteren 
Profilen und zum Ausspielen personalisierter Werbung nutzt.’'® Bezugnehmend 
auf die Verbindung zwischen dem Ob und Wie der Datenverarbeitung und de- 
ren Verankerung im Grundsatz der Transparenz, wenngleich das Kriterium der 
Informiertheit expressis verbis lediglich Teil der Voraussetzungen der Einwilli- 
gung nach Art. 4 Nr. 11, 7 Abs. 1 DSGVO ist, ist ein derartiges Handeln als 
intransparent einzustufen. Die Ausübung der informationellen Selbstbestimmung 
wird erschwert, wenn nicht gar unmöglich in Ermangelung der Kenntnis vom ver- 
antwortlichen Datenverarbeitenden. Hiergegen nützt zwar der Auskunftsanspruch 
gem. Art. 15 Abs. 1 DSGVO, um die Informationen bewusst einzuholen. Was im 
Fall von Facebook als prominentem Anspruchsgegner funktionieren mag, erweist 
sich bei der weiteren Betrachtung der Schattenprofile als ungeeignetes Instru- 
ment. Digitale Identitäten in Unkenntnis des Identitätsinhabers entstehen nämlich 
auch dann, wenn umfangreiche Tracking-Methoden zum Einsatz kommen. So ist 
die Möglichkeit des Webtrackings über Cookies, die einst unabhängig von ei- 
nem Personenbezug durch die ePrivacy-Verordnung berücksichtigt werden sollte 
(vgl. Art. 8 ePrivacy-VO-Entwurf)’!?, nicht mehr die einzige Möglichkeit zur 


718 Siehe Venkatadri etal., Proceedings on Privacy Enhancing Technologies 2018, S. 13. Konkret 
wurde diese Praxis durch Twitter betrieben, wie Medienberichte im Jahr 2019 belegen — exem- 
plarisch nur https://www.golem.de/news/twitter-zwei-faktor-telefonnummer- wurde-zu-werbe 
zwecken-verwendet- 1910-144334.html. 

719 Der Entwurfstext der ePrivacy-Verordnung ist einsehbar unter https://eur-lex.europa.eu/legal-c 
ontent/DE/TXT/PDF/?uri=CELEX:52017PC0010. Hierzu auch Wenhold, Nutzerprofilbildung 
durch Webtracking, S. 249 f, Rauer/Ettig, ZD 2018, 255; Schmitz, ZRP 2017, 172 (174). 
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Verfolgung von Handlungsweisen des digitalen Selbst. Vielmehr wird auf die Pro- 


filbildung mittels Browser-Daten (sog. Browser-Fingerprinting) 7?" 


oder Tracking- 
Pixel”?! und -Bilder’”” zurückgegriffen. Ersteres nutzt die Daten des Browsers 
beim ersten Aufruf der Webseite, die Angaben über Bildschirmgröße, Helligkeit/- 
Farbspektrum, Endgerät, installierte Plugins (Java, Adobe Flash, AdBlocker, etc.) 
und damit auch nachgeladene Inhalte dokumentieren.” Vereinzelt wird auch 
auf Browser-Schnittstellen zurückgegriffen, welche lediglich von Hör- und Seh- 
behinderten genutzt werden und als Teil der digitalen Identität ein entsprechend 
sensibles, besonderes personenbezogenes Datum (vgl. Art.9 Abs. 1 DSGVO) dar- 
stellen.’?* Dadurch, und in Verbindung mit weiteren Nutzungsdaten oder Cookies, 
bildet sich ein unverkennbares digitales Abbild des Internetnutzers. Einen Zustand 
der Anonymität herzustellen oder aufrechtzuerhalten ist daher nahezu unmöglich 
oder nur umständlich bzw. für geübte Nutzer möglich.’ Dergleichen ergibt sich, 
wenn von der Webseite je Nutzer bzw. Webseitenbesucher generierte Bilder als 
Teil der Webseite auf dem Endgerät gespeichert und zur Wiedererkennung genutzt 
werden. Dabei handelt es sich jedoch nicht um tatsächliche Bilder, sondern mit 
Hash-Werten codierte Bilddateien.” Hash-Werte zeichnet gerade aus, dass die- 
se Werte bei gleichbleibenden Eingabe-Daten auch dasselbe Ergebnis liefern.” 
Wird eine Webseite also später erneut aufgerufen und vonseiten des Servers abge- 
fragt, ob bereits Webseiten-Daten auf dem Endgerät vorhanden sind, so wird auch 


720 Jandt in: Jandt/Steidle, Datenschutz im Internet, A.I., Rn. 37; Boda et al., User Tracking on the 
Web via Cross-Browser Fingerprinting, S. 31 (35, 39, 45); Olejnik/Castelluccia/Janc, Annals 
of Telecommunications 2014, 63 (65, 72); Cao/Li/Wijmans, Network & Distributed System 
Security Symposium 2017, 1 (2 f). 

721 Zur Methodik des Facebook-Tracking-Pixels siehe Kühnl, Persönlichkeitsschutz 2.0, S. 27 
ff, 29 sowie allgemein Fox, DuD 2010, 787. Weitere Tracking-Mechanismen von Facebook 
darstellend Karg/Thomsen, DuD 2012, 729 (730 f). 

722 Zum individuell generierten Bild unter Verwendung eines Hashes als Authentisierungs-ID siehe 
Quinn etal., White Paper Tracking, S. 12. 

723 Vgl. Bodaetal., User Tracking on the Web via Cross-Browser Fingerprinting, 31 (32); Ba- 
chem in: Wamser/Fink, Marketing-Management mit Multimedia, 189 (191 f). 

724 Art. 4 Nr. 15, ErwGr 35 DSGVO. 

725 Mit gleichem Ergebnis hinsichtlich der Tracking-Maßnahmen von Facebook auch Karg/ 
Thomsen, DuD 2012, 729 (734). 

726 Hierzu sowie im Folgenden siehe Quinn et al., White Paper Tracking, S. 12. 

727 Siehe zum Begriff Hellmann, IT-Sicherheit, S. 49 f sowie vertiefend Eckert, IT-Sicherheit, S. 
366 f. 
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der Hash-Wert im generierten Bild gemeldet und der Nutzer des Endgeräts erkannt. 
Genauer gesagt: Nicht der Nutzer, sondern nur das Endgerät kann wiedererkannt 
werden. Der Prozess der Wiedererkennung ist nicht zu verwechseln mit dem der 
Identifizierung, welcher die analoge Identität bestätigt und eine direkte Zuordnung 
zur realen Person ermöglicht.’”® Dennoch kann im Rahmen der Wiedererkennung 
die Möglichkeit bestehen, dass ein Diensteanbieter bei ihm hinterlegte Daten (z.B. 
Adressdaten oder den Inhaber aus den Kreditkarten-Daten) zur Verknüpfung mit 
diesen Daten über den eigentlichen Zweck hinaus nutzt. Dies widerspricht jedoch 
auf mehreren Ebenen datenschutzrechtlichen Grundsätzen: Die nicht erforderli- 
che Verknüpfung einzelner personenbezogener Daten widerspricht grundsätzlich 
den Prinzipien der Zweckbindung der genutzten Daten sowie dem der Daten- 
sparsamkeit. Darüber hinaus wird der Personenbezug von Daten, denen originär 
kein solcher möglich war, begünstigt und lässt auch zunächst anonyme Daten 
(z.B. Hash-Werte) Gegenstand des Datenschutzrechts werden. Weiter kann das 
Schattenprofil über mehrere Endgeräte gespeist und aufrecht erhalten werden, wie 
der Forschungsbericht von Privacy International belegt.” Hieraus können auch 
Daten über das Nutzungsverhalten gesammelt werden, die bei unterschiedlicher 
Nutzung ebenfalls Aussagen über Lebenssachverhalte offen legen, beispielsweise 
über Schlafgewohnheiten, Kaufkraft des Nutzers oder Work-Life-Balance anhand 
des Online-Verhaltens. Darin bestätigt sich erneut der bereits dargelegte Ansatz 
der Auflösung der Abgrenzung sowie die dargestellte Abkehr vom Personenbezug 
des Datums. Die Unvereinbarkeit mit verfassungsrechtlichen wie datenschutz- 
rechtlichen Prinzipien sowie die mangelnde Rechtfertigung nach Art. 6 Abs. 1 
DSGVO führen zur Rechtswidrigkeit von Schattenprofilen als bestimmte Form 
digitaler Identitäten. Schließlich widerspricht der Mangel an Transparenz sowie 
die Ohnmacht bei der informationellen Selbstbestimmung ebenjenem Grundrecht; 
ein berechtigtes, überwiegendes Interesse aus Art. 12 Abs. 1, 14 Abs. 1 GG ist 
letztlich nicht ersichtlich. Die Verarbeitung digitaler Identitäten ohne Kenntnis 


728 Hierzu bereits Fn. 98 sowie Jandt in: Jandt/Steidle, Datenschutz im Internet, A.I., Rn. 36. 
729 Im Detail siehe Privacy International, How Apps on Android Share Data with Facebook (even 
if you don’t have a Facebook account), S. 15 f. 
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des Individuums ist folglich nicht mit dem Grundrecht auf informationelle Selbst- 
bestimmung aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG vereinbar. 


cc) Ergebnis Gezeigt werden konnte, dass die digitale Identität in ihrem infor- 
mationellen Gehalt dem Schutz durch das Grundrecht auf informationelle Selbst- 
bestimmung gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG unterliegt. Schon das weite Ver- 
ständnis des Grundrechts selbst hinsichtlich neuer technischer Entwicklungen mit 
Blick auf neue Varianten und Speicherformen personenbezogener Daten lässt dies 
zu. Ausdrücklich lässt sich dieses Verständnis in der Fassung der Datenportabilität 
in Art. 20 DSGVO erkennen, welche letztlich auch auf die Entwicklungsoffenheit 
des Grundrechts rekurriert. 


Die Notwendigkeit dieses Schutzes ergibt sich aus einer Vielzahl von Risiken 
der Datenverarbeitung, beispielsweise der personalisierten Preisbildung auf Ba- 
sis digitaler Identitäten oder stetig steigende Gefahr des Identitätsdiebstahls bzw. 
-missbrauchs. Diesbezügliche Maßnahmen des Staates durch datenschutzrecht- 
liche Regelungen schaffen erste Ansätze, scheitern aber an einem einheitlichen 
Regelungsbild. Dies lässt sich vor allem daran erkennen, dass spezifische Arten von 
Sammlungen personenbezogener Daten kaum oder nicht reguliert sind. Ein ein- 
heitliches Verständnis sowie ein einheitlicher Umgang mit derartigen Daten fehlt 
daher. Infolgedessen, und aufgrund technischer Gegebenheiten, verschwimmen 
die definierten Grenzen zunehmend. Ein effektiver Schutz der digitalen Identität 
erfolgt daher stets einzelfallbezogen, unter Betrachtung der Stärke des Perso- 
nenbezuges’°°, des informationellen Gehalts und dementsprechender Nähe zur 
Menschenwürde des Art. 1 Abs. 1 GG. Gerade in letztem Aspekt und hinsichtlich 
der stets notwendigen Abwägung mit berechtigten Interessen oder gar Allgemein- 


731 


interessen’”' ist eine Sphärentheorie hinsichtlich personenbezogener Daten und 


Datensammlungen wie der digitalen Identität erkennbar. 


730 So im Ergebnis auch Herbst, NVwZ 2016, 902 (905 f). 
731 Vgl. BVerfGE 80, 367 (373); 115, 320 (357 ff). 
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c) Das Grundrecht auf Gewährleistung der Vertraulichkeit und 
Integrität informationstechnischer Systeme 


Fernerhin bleibt vor dem gedanklich-historischen Hintergrund des Allgemeinen 
Persönlichkeitsrechts gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG das Grundrecht auf 
Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Sys- 
teme zu betrachten. Sinnstiftend definierte das Bundesverfassungsgericht dieses 
Grundrecht als gegenüber Art. 10 Abs. 1, 13 Abs. 1 GG subsidiären Schutz 
vor Eingriffen in informationstechnische Systeme, fokussiert allerdings eben- 


falls moderne Gefährdungen der Persönlichkeit. ’>? 


Gelingt der Zugriff auf das 
Informationssystem, offenbart sich ein quantitativer wie qualitativer Datensatz: 
„Im Rahmen des Datenverarbeitungsprozesses erzeugen informationstechnische 
Systeme zudem selbsttätig zahlreiche weitere Daten, die ebenso wie die vom 
Nutzer gespeicherten Daten im Hinblick auf sein Verhalten und seine Eigenschaf- 
ten ausgewertet werden können.“ Kommt es im Wege des Eingriffs auf die 
umfangreiche Datenerhebung an, beispielsweise durch eine Kopie der gesamten 
Festplatte oder die Infiltration des Systems via Malware, ist eine Beeinträchtigung 
der Integrität und Vertraulichkeit des Systems zu bedenken. ’’* Schließlich ‚ist 
[dann] die entscheidende technische Hürde für eine Ausspähung, Überwachung 


oder Manipulation des Systems genommen.“ >. 


Was das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität infor- 
mationstechnischer Systeme (nachfolgend GGVIS’3°) genau schützt, lässt sich 
in informationeller Hinsicht als Systemsicherheit bzw. IT-Sicherheit bezeichnen. 
Datenschutz und Datensicherheit weisen hierzu oftmals Kongruenzen auf, wie 
Art. 25, 32 DSGVO erkennen lassen. Fällt der Blick hingegen auf Instrumente der 
Datensicherheit wie beispielsweise die Intrusion Detection”? unter Verwendung 


732 BVerfGE 120, 274 (303). 

733 BVerfGE 120, 274 (305). 

734 BVerfGE 120, 274 (313 f). 

735 BVerfGE 120, 274 (314) 

736 Namensgebend mit weiterer Erläuterung zu diesem Akronym siehe Gersdorf in: Gersdorf/ 
Paal, BeckOK InfoMedienR, Art. 2 GG, Rn. 22. 

737 Hierzu Deusch/Eggendorfer, K&R 2018, 753 ff. 
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maschinellen Lernens, kann eine damit einhergehende Verarbeitung personen- 
bezogener Daten und ein Abbilden von Benutzerverhalten — also ebenfalls ein 
Vorhalten digitaler Identitäten — prima facie auch entgegen datenschutzrechtli- 
cher Prinzipien wirken. Denn: Auch eine Analyse dieser aggregierten Daten und 
mögliche falsche Schlussfolgerungen unterliegen Art. 22 Abs. 1, Abs. 2 DSGVO, 
obschon eine Profilbildung und der Einsatz von Intrusion Detection Systemen von 
Art. 6 Abs. 1 lit. f DSGVO gedeckt sein könnten.’?® Dennoch dient der Einsatz 
dieser Systeme dem Schutz der Daten hinsichtlich Verfügbarkeit, Authentizität, 
Vollständigkeit und Vertraulichkeit der Daten’; mithin auch Funktionsfähig- 


740 


keit des informationstechnischen Systems’”". Weiterhin führt dieses technische 


Aufrüsten eigener Systeme dazu, den für das Grundrecht vorausgesetzten Vertrau- 


d’* 


enstatbestan zu schaffen. 


Für den informationellen Gehalt der digitalen Identität ist der Systemschutz des 
GGVIS nur mittelbar brauchbar. Durch das Vertrauen des Nutzers in die eigene In- 
formationstechnik, insbesondere bei eigens eingerichteten Schutzmaßnahmen wie 
Firewall und Virenscanner, wird die namensgebende Integrität des Datenbestan- 
des geschützt.” Innerhalb eines Systems tragen auch begrenzte Benutzerrechte 
und der Einsatz von digitalen Signaturen dazu bei.” Darunter ist mit Blick auf 
die initiierende Rechtsprechung des Bundesverfassungsgerichts allerdings nur die 
technische Integrität gemeint, nicht die informationelle Lesart iSe Datengehalts. 
Der Verlust und die Manipulation von Daten bzw. Informationen betrifft vielmehr 
das Grundrecht auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 iVm 1 
Abs. 1 GG, welche wie ausgeführt die Verfügungsposition über die eigenen Daten 
und digitalen Identitäten umfasst. Demgemäß ist eine weitere Betrachtung auf die 
technische Betrachtung der digitalen Identität unter D.II. zu vertagen. 


738 Hierzu ErwGr 49 DSGVO; Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, 
Rn. 167; Deusch/Eggendorfer, K&R 2018, 753 (757 f). Vgl. auch Ritter in: Schwart- 
mann et al., DSGVO/BDSG, Art. 32, Rn. 56. 

739  Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 6 DSGVO, Rn. 167. 

740 EuGH, Urteil vom 19.10.2016, Az. C-582/14 — Breyer —, Rn. 60. 

741 BVerfGE 120, 274 (314); Hoffmann etal., Die digitale Dimension der Grundrechte, S. 70. 

742 Herrmann, GGVIS, S. 123 f, Hornung, CR 2008, 299 (302 f); Hoffmann etal., Die digitale 
Dimension der Grundrechte, S. 71 sowie gleichermaßen Zuch, MMR 2011, 75 (75). 

743 Heinemann, Grundrechtlicher Schutz informationstechnischer Systeme, S. 75. 
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d) Recht auf (Daten-)Eigentum und digitalen Nachlass, Art. 14 
Abs. 1 GG 


Im Gegensatz zur Prüfung des GGVIS drängt sich die Diskussion einer Ein- 
ordnung der digitalen Identität von originären Grundrechtsträgern geradezu auf, 
spätestens seit Umsetzung der DSGVO und dem beschlossenen Vorhaben der 
Großen Koalition aus CDU/CSU und SPD hinsichtlich eines Dateneigentums’* 
sowie mit Blick auf das Urteil des BGH in Sachen „Digitaler Nachlass“’®. Daher 
soll an dieser Stelle die darin angedeutete und zunehmend stärkere Diskussion bei- 
der Punkte und der darin eingeschlossenen Probleme einer Kollision von digitalen 
Sachverhalten mit dem „analogen Recht“ diskutiert werden. So ist zunächst auf 
die Frage des Dateneigentum unter dem verfassungsrechtlichen Eigentumsbegriff 
einzugehen und zu untersuchen, ob eine geeignete Definition besteht oder die po- 
litisch beabsichtigte Neuregelung entsprechend geeignet und effektiv erscheint. 
Anschließend bleibt dabei unter dem Stichwort „Schutzgut“ zu erörtern, ob 
die Problematik nicht eher einen persönlichkeitsrechtlichen bzw. informationell- 
datenschutzrechtlichen Hintergrund hat und weniger eine vermögensrechtliche 
Einordnung erzwingt. Anschließend ist auf Basis des verfassungsrechtlichen Erb- 
rechts zu skizzieren, ob auch in diesem Punkt ein verfassungsrechtlicher Schutz 
der digitalen Identität besteht und, sofern gegeben, wie weit dieser reicht. In beiden 
Betrachtungen werden aufgrund der Normprägung der Grundrechte aus Art. 14 
Abs. 1 GG’* die entsprechenden einfachgesetzlichen Vorschriften lediglich zu 
streifen sein. 


aa) Recht auf Eigentum an (personenbezogenen) Daten 


744 Das Dokument ist einsehbar unter https://www.cdu.de/system/tdf/media/dokumente/koalitions 
vertrag_2018.pdf?file=1. 

745 BGH, Urteil vom 12. Juli 2018 — Az. IT ZR 183/17. 

746 Zur Eigentumsfreiheit: Ausführlich Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG- 
Kommentar, Band I, Art. 14, Rn. 29 ff mit Conclusio in Rn. 47 f, Papier/Shirvani in: Maunz/ 
Dürig, GG-Kommentar, Art. 14, Rn. 148; Hufen, Staatsrecht II, $ 38, Rn. 7 f. Zur Gewähr- 
leistung des Erbrechts: Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 404; 
Hufen, Staatsrecht II, $ 38, Rn. 7 f. 
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(1) Verfassungsrechtliche Definition Grundlegend für die Betrachtung 
ist der verfassungsrechtliche Eigentumsbegriff des Art. 14 Abs. 1 GG. Wo dem 
Wortlaut keine Einzelheiten zu entnehmen sind, verweist Art. 14 Abs. 1 GG zu- 
mindest auf die Rolle des Gesetzgebers und die Normprägung des Grundrechts: 
Sowohl hinsichtlich der Gewährleistung des Eigentums (S. 1) als auch weiterer 
Inhalts- und Schrankenbestimmungen (S. 2) kommt ihm die Regelungspräroga- 
tive zu. Dennoch weist das Grundrecht einen eigenen Gehalt auf, der sich in 
den Funktionen des Grundrechts’*’ erstreckt und dadurch die Grundlage für die 
Prärogative bietet. So erkennt das Bundesverfassungsgericht als Eigentum „alle 
vermögenswerten Rechte [an], die dem Berechtigten in der Weise zugeordnet 
sind, daß [sic] er die damit verbundenen Befugnisse nach eigenverantwortlicher 
Entscheidung zu seinem privaten Nutzen ausüben darf“’*®. Wenngleich das Sach- 
eigentum als „natürliches Eigentum“? dem Gesetzgeber ein Leitbild’ vorgibt 
und dieses andere Varianten des Eigentums überdeckt ’°', einigt sie abseits physi- 
scher Eigenschaften der abwehrrechtliche Einfluss durch Herrschafts-, Nutzungs- 
und Verfügungsbefugnisse’°. Demgemäß steht die ausschließliche, erga omnes 
bestehende Rechtsposition im Vordergrund.’5? Die Ausgestaltung dieser Einzel- 
heiten ist Teil der institutionellen Garantie des Art. 14 Abs. 1 GG’°* — Eigentum 
ist (einfachgesetzlich) geprägte Freiheit’”. Das weite Verständnis des Art. 14 


747 Zu den Funktionen im Einzelnen siehe Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 
14, Rn. 3 ff. 

748 BVerfGE 83, 201 (208); 91, 294 (307); 112, 93 (107); 115, 97 (110 f). 

749  Depenheuer in: Merten/Papier, HGr V, $ 111, Rn. 47 sowie Depenheuer/Froese in: von 
Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 59. 

750 Hierzu Depenheuer in: Merten/Papier, HGr V, $ 111, Rn. 50 f sowie Depenheuer/Froese in: 
von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 62 f, 34; Axer in: Epping/ 
Hillgruber, BeckOK GG, Art. 14, Rn. 10; Stern, StaatsR IV/1, S. 2185 ff. 

751 Axer in: Epping/Hillgruber, BeckOK GG, Art. 14, Rn. 11: Strukturkompatibilität. 

752 BVerfGE 52, 1 (30); 83, 201 (208); als „erweiterten Eigentumsbegriff“ bezeichnend Kimmi- 
nich in: Kahl/Waldhoff/Walter, BonnK GG, Art. 14, Rn. 32. Zur Entsubstantialisierung des 
Eigentumsbegriffs siehe auch Depenheuer in: Merten/Papier, HGr V, $ 111, Rn. 28 ff. 

753 Vgl. Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 
64. 

754  Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 121 f; Kloepfer, VerfR II, $ 
72, Rn. 72. 

755 BVerfGE 97, 360 (371) und Depenheuer in: Merten/Papier, HGr V, $ 111, Rn. 9, 61 unter 
Verweis auf Äußerungen Paul Kirchhofs; Kloepfer, VerfR II, $ 72, Rn. 16. 
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Abs. 1 S. 1 Alt. 1 GG bedeutet jedoch auch, dass Eigentum sich als „gespei- 
cherte Freiheit“ manifestiert.’°° Seinem Telos als Freiheitsrecht nach bewahrt 
das Eigentumsrecht das Geleistete und ist Grundlage für eine Wertbemessung. >” 
Schließlich schützt Art. 14 Abs. 1 GG jedes vermögenswerte Recht, nicht je- 
doch das Vermögen selbst.’5® Daraus lässt sich auch kein Recht auf Garantie 
eines bestimmten Wertes aus Art. 14 Abs. 1 GG ableiten.’”” Dennoch obliegt es 
wie erwähnt dem Staat, die Mindestvoraussetzungen für eine Wertstellung des 


760 


Eigentums zu erfüllen — sei es aus Gründen der Institutsgarantie‘”" oder zur Er- 


füllung seiner Schutzpflichten bzgl. multidimensionaler Grundrechtssachverhalte 


nach Maßgabe des Untermaßverbots’!.7% 


Mit Blick auf die digitale Identität ist nunmehr zu klären, ob es sich um „ge- 
speichertes“ Eigentum iSd Verfassung handelt. Dafür spricht zunächst, dass die 
digitale Identität — abgesehen von Speichermedien - nicht haptisch begreifbar ist 
und hin zum immaterialgüterrechtlichen Teil des Art. 14 Abs. 1 GG tendiert. An 
einer digitalen Identität könnten Immaterialgüterrechte bestehen, beispielsweise 
durch die Nutzung einer digitalen Identität als Kunstfigur oder bei besonderen 
Formen des $ 2 UrhG. Zudem entstehen dadurch, oder durch die aufgezeigten da- 
tenschutzrechtlichen Mittel, entsprechende Herrschafts- und Nutzungsrechte, die 
ebenfalls ausschließlich dem Urheber bzw. Datensubjekt zukommen. Die Nutzung 
der Datensätze der digitalen Identität ist regelmäßig nach Maßgabe der Beteiligten 


756 Stern, StaatsR IV/1, S. 2130; Leisner, Eigentum, S. 3 (4), 7 (8), 9 ff. 

757 Siehe nur Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 
14, Rn. 13 f, Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 2, vgl. zum 
Urheberrecht auch Rn. 315; Meyer-Abich, Der Schutzzweck der Eigentumsgarantie, S. 58 f. 
Vgl. auch BVerfGE 116, 96 (121); 143, 246 (Rn. 238). 

758 BVerfGE 65, 196 (209); 72, 175 (195); 95, 267 (300); vgl. 30, 250 (271 f); Papier/Shirvani in: 
Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 277; Stern, StaatsR IV/1, S. 2200 ff. 

759 BVerfGE 105, 17 (30). Zur Eigentumswertgarantie siehe auch Papier/Shirvani in: Maunz/ 
Dürig, GG-Kommentar, Art. 14, Rn. 116, 279 £. 

760 So BVerfGE 20, 351 (355); 24, 367 (389); 26, 215 (222); 31, 229 (240); 42, 263 (294); 50, 290 
(339 f); 58, 300 (339); Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 119, 
121; Wendt in: Sachs, GG, Art. 14, Rn. 10; Stern, StaatsR IV/1, S. 2172 f. 

761  Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 92 
aE. 

762 Zur unterschiedlichen Stoßrichtung beider Aspekte siehe Papier/Shirvani in: Maunz/ 
Dürig, GG-Kommentar, Art. 14, Rn. 134. 
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möglich (vgl. Art. 6 Abs. 1 lit. a, 7 Abs. 2 DSGVO), auch kann die Berechtigung 
jederzeit entzogen werden (Art. 7 Abs. 3 S. 1 DSGVO). Insofern scheint der letzte 
Halbsatz der eingangs zitierten Definition des Bundesverfassungsgerichts erfüllt. 


Problematisch ist jedoch das Kriterium des „vermögenswerten Rechts“, das seit 
der Nutzung von personenbezogenen Daten und digitalen Identitäten zum Zwecke 
personalisierter Werbung und ähnlichen Praktiken stets umstritten ist. So stellt 
sich die Frage, ob das Datenschutzrecht auch einen vermögenswerten Gehalt hat 
oder diesen einbezieht. Aussagen wie „Aber nichts im Leben ist umsonst! Daher 
muss der Nutzer von Facebook davon ausgehen, dass er mit seinen Daten [...] 


«763 «764 entfachen die De- 


zahlen wird. oder das „Modell ‚Service gegen Daten 
batte stets erneut, indem sie Daten als Leistungs- und Tauschgegenstand gegen 
ein digitales Angebot qualifizieren. Für den verfassungsrechtlichen Eigentumsbe- 
griff kommt es jedoch nicht auf diese tatsächliche Ebene der Wertzuordnung an. 
Vielmehr ist, unter Einbeziehung der Einrichtungsgarantie, zu betrachten, wel- 
che Rechtspositionen der Gesetzgeber mit entsprechenden Wertschöpfungs- und 
Herrschafts- bzw. Nutzungsrechten ausgestattet hat (auch: Zuweisungsgehalt).’® 
Zusätzlich zum Zuweisungsgehalt bedarf es aber der zuvor erwähnten Ausschluss- 
funktion’. Das Datenschutzrecht kann für diese Einordnung nicht in Betracht 
kommen’®’, da es schon von Verfassungs wegen dem Schutz des Grundrechts 
auf informationelle Selbstbestimmung dient und keine Zuordnung von Vermö- 


genswerten vorsieht, vgl. Art. 1 Abs. 2 sowie Erwägungsgrund 1 DSGVO.’°% 


763 So Söbbing, InTeR 2018, 182 (185). 

764  Krohm/Müller-Peltzer, ZD 2017, 551 (551). Zum Entgelt-Charakter von Daten ebenso 
Faust, NIW-Beilage 2016, 29 (29); vgl. Schweitzer/Peitz, NJW 2018, 275 (277). 

765 Stern, StaatsR IV/1, S. 2184, Fn. 305 mwN; Eschenbach, Der verfassungsrechtliche Schutz des 
Eigentums, S. 519. 

766 Eschenbach, Der verfassungsrechtliche Schutz des Eigentums, S. 519 f. 

767 Mit Blick auf das Datenschutzrecht ablehnend Richter/Hilty, Die Hydra des Dateneigentums 
— eine methodische Betrachtung, S. 241 (252). Dagegen ein vermögenswertes Ausschließlich- 
keitsrecht befürwortend Buchner, Informationelle Selbstbestimmung im Privatrecht, S. 208 
ff. 

768 So iE auch OLG Lüneburg, Beschluss vom 26.02.2019 - Az. 11 LA 274/18 —, Rn. 16, 20; 
Hoeren, Big Data und Recht, S. 19 f; Härting, CR 2016, 646 (648); Specht, CR 2016, 288 
(289); Zech, CR 2015, 137 (141); vgl. Sattler, JZ 2017, 1036 (1037) sowie Dorner, CR 2014, 
617 (624). 
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So schließt auch das Bundesverfassungsgericht aus: „Information, auch soweit 
sie personenbezogen ist, stellt ein Abbild sozialer Realität dar, das nicht aus- 
schließlich dem Betroffenen allein zugeordnet werden kann.‘ Ebenso tritt die 
Zuordnung der Herrschafts- und Nutzungsrechte nur relativ ein, wenn es sich um 
personenbezogene Daten handelt oder per se die Datenverarbeitung keine Grund- 
lage aufweist. Die generalklauselartige Verarbeitungsgrundlage des Art. 6 Abs. 1 
lit. f DSGVO’” öffnet die Ausschließlichkeit derart, sodass bei überwiegenden 
Interessen des Betroffenen gerade kein Ausschließlichkeitsrecht, sondern ein blo- 
Bes Informations- und Auskunftsrecht besteht.’’”! Diese und weitere Instrumente 
des Datenschutzes”? wirken außerdem nur bereichsspezifisch,’’? im Gegensatz 
zum grundlegenden Zuordnungsprinzip des Eigentums. Abseits dessen kann über 
die eigene digitale Identität frei verfügt werden, weshalb eine Verwendung als 
Zahlungsmittel bzw. Tauschmittel grundsätzlich nicht rechtswidrig ist. Auch die 
zitierte Aussage des Bundesverfassungsgerichts spricht nicht dagegen.’’* Viel- 
mehr ist dies im Wege datenschutzkonformer Verträge möglich, wie Art. 6 Abs. 1 
lit. b DSGVO erkennen lässt. Dies unterstützt auch der Kern der informationellen 
Selbstbestimmung in Art. 2 Abs. 1 GG einschließlich der Privatautonomie.’’° 
Verstöße von Vertragspflichten zwischen Privaten regelt sodann das BGB durch 
Anwendung des allgemeinen Schuldrechts, handelt es sich beispielsweise um ei- 
nen Datenkauf iSd $$ 433, 453 Abs. 1 Alt. 2 BGB’’°. Daneben kann sich auf das 
„sonstige Recht“ des $ 823 Abs. 1 BGB berufen werden. Wohingegen zunächst 


769 BVerfGE 65, 1 (44). Gleichermaßen EuGH, Urteil vom 20.12.2017, Az. C-434/16 — Nowak -, 
Rn. 45. In der Literatur ebenso Heymann, CR 2016, 650 (652 f); vgl. Fezer, ZD 2017,99 (101). 

770 Zur daraus entstehenden Rechtsunsicherheit Buchner/Petri in: Kühling/Buchner, DSGVO, Art. 
6 DSGVO, Rn. 142 ff. 

7711 Vgl. Dorner, CR 2014, 617 (624 f). Ferner unter Würdigung weiterer Vorschriften ablehnend 
Kühling/Sackmann, vzbv-Gutachten, S. 13. 

772  Hornung/Goeble, CR 2015, 265 (270). 

773 So Schulz, PinG 2018, 72 (73). 

774 Specht, CR 2016, 288 (292 f). 

775 Vgl. BGHZ 26, 349 (354 f); Stern, StaatsR IV/1, S. 204; Isensee in: Isensee/Kirchhof, HStR VII, 
$ 150, Rn. 6 f, 59 f; Kühling/Sackmann, vzbv-Gutachten, S. 14; als „kleines Dateneigentum“ 
bezeichnend Esken, Dateneigentum und Datenhandel, S. 73 (78 f). 

776 Zur Möglichkeit eines Datenkaufs siehe Stender-Vorwachs/Steege, NJOZ 2018, 1361 (1363 f). 
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nur persönlichkeitsrechtliche Aspekte hierunter zu fassen waren, sind auch Beein- 
trächtigungen des Grundrechts auf informationelle Selbstbestimmung von $ 823 
Abs. 1 BGB umfasst. Dies wurde wohl nur differenzierend angenommen’””, ist 
jedoch angesichts der Wertstellung von Datensätzen im Allgemeinen sowie der 
Ausweitung der Immaterialgüterrechte von analogen Medien auf Datenbanken nur 
konsequent. Eine Kollision mit nunmehr datenschutzrechtlichen Haftungsansprü- 
chen aus Art. 82 Abs. 1 DSGVO besteht gem. Erwägungsgrund 146 S. 4 DSGVO 
nicht.’’® Ein vermögenswertes Recht aus einem privatrechtlichen Sekundäran- 
spruch abzuleiten scheint jedoch insofern unangebracht, als dass es sich dabei um 
kein aktives Recht handelt, auf das der Inhaber der digitalen Identität zurückgrei- 
fen kann. Sonst muss zur Geltendmachung des Anspruchs ein Schaden provoziert 
werden, der schon zur Unanwendbarkeit der Norm führt — nur die Schädigung 
eines anderen und durch einen anderen ist von $ 823 Abs. 1 BGB umfasst. Ein 
originäres, vermögenswertes Recht iSd Art. 14 Abs. 1 GG oder ein auf (personen- 
bezogene) Daten bezugnehmender Rechtsrahmen besteht de lege lata nicht. Ein 
vermögenswertes Recht an Daten de lege ferenda ist dadurch aber nicht unmög- 
lich, sondern könnte bei Ausgestaltung des Instituts des Art. 14 Abs. 1 GG bis zu 


diesem Punkt der Betrachtung möglich sein. 


(2) Bestehende Eigentumsbegriffe Ungehindert dessen bleibt zu fra- 
gen, ob nicht schon ein Eigentumsrecht an personenbezogenen Daten durch Le- 
gislative, Judikative oder in der rechtswissenschaftlichen Literatur qua Analogie 
herausgebildet wurde. In diesem Fall bestünde wiederum eine Schutzfähigkeit 
der digitalen Identität nach Art. 14 Abs. 1 GG, da eine konkrete Ein- bzw. Un- 
terordnung als vermögenswertes Recht vorliegt. Sodann bedürfe es auch keiner 
Neuregelung einer Rechtsposition. 


777 Siehe nur Wagner in: Säcker etal., MüKo BGB, Bd. VI, $ 823, Rn. 332 ff; Zech, Information 
als Schutzgegenstand, S. 386 f, Meier/Wehlau, NJW 1998, 1585 (1588 f); Hoeren, MMR 2013, 
486 (491); Faustmann, VuR 2006, 260 (262 f); ausführlich zum Integritätsschutz Berberich/ 
Golla, PinG 2016, 165 (170 f); Spindler in: Gsell et al., BeckOGK BGB, $ 823, Rn. 184 ff. 

778 So auch Boehm in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 82 DSGVO, 
Rn. 32. 
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Naheliegend ist die Betrachtung des Zivilrechts, da es das erwähnte Leitbild 
des verfassungsrechtlichen Eigentumsbegriffs Kodifiziert. Ansatzpunkte für ei- 
ne Einordnung finden sich schon in der Definition der beweglichen Sache gem. 
$ 90 BGB, die intrinsisch die (physische) Beweglichkeit der Daten voraussetzt. 
Dies ist jedoch aufgrund der immateriellen Gestalt von Daten, also Informatio- 
nen in Form von elektrischen oder physischen, maschinenlesbaren Zuständen 
der Hardware, nicht möglich.” Daten sind per se nicht-rival, nicht-exklusiv und 
nicht-abnutzbar.’®° Höchstens die Hardware als Datenträger fällt unter den Begriff 
des $ 90 BGB’®!, unabhängig des eigentlichen Datengehalts. Das Eigentum an 
der Hardware und an den Daten fällt damit auseinander bzw. nicht stets in der 
gleichen Person zusammen. ’®? Die in der Literatur ungeachtet dessen vertretene 
Annahme, dass Daten Nutzungen ($ 100 BGB) und Früchte ($ 99 Abs. 2 BGB) 
darstellen könnten’®, übersieht die in $ 99 Abs. 1 und Abs. 2 BGB vorgesehene 
Voraussetzung einer rechtlichen Zuordnung. Beides sind nur Derivate einer Sache 


779  Härting, CR 2016, 646 (647); Schulz, PinG 2018, 72 (74); Redeker, CR 2011, 634 (638); 
Markendorf, ZD 2018, 409 (410); Lehmann, FS Schneider, S. 133 (134); aufgrund mangeln- 
der Rivalität ablehnend Zech, CR 2015, 137 (141 f). Ausführlich auch Berberich, Virtuelles 
Eigentum, S. 87 ff. 

780 Erstmals Zech, CR 2015, 137 (139) sowie ausführlich Zech, Information als Schutzgegenstand, 
S. 326 ff; darauf aufbauend Heymann, CR 2016, 650 (652 f, 655 f). Vgl. auch Berberich, Vir- 
tuelles Eigentum, S. 92 sowie spezifisch zu Accounts Kutscher, Der digitale Nachlass, S. 23 
f. 

781 Vgl. Welp, iur 1988, 443 (448); Kutscher, Der digitale Nachlass, S. 22 ff; Faust, Ausschließlich- 
keitsrecht an Daten?, S. 85 (86 f). Zu dabei entstehenden Problemen siehe Berberich, Virtuelles 
Eigentum, S. 93 ff. Anders dagegen mit Blick auf Flashspeicher Haustein, Möglichkeiten und 
Grenzen von Dateneigentum, S. 143 f. 

782 Vgl. Welp, iur 1988, 443 (448). 

783 Grundlegend hierzu bzgl. Geodaten Grosskopf , IPRB 2011, 259 (260) und Bleckat, RDV 2019, 
114 (114 f), jedoch iE Geodaten als Früchte des Grundeigentums annehmend. Die Kollision 
mit dem Persönlichkeitsrecht wird von Grosskopf durch eine Einwilligung des Datensubjekts 
gelöst. Dabei wird jedoch das mangelnde Dateneigentum an personenbezogenen Daten mit dem 
fingierten Eigentum an (Maschinen-)Daten als Früchte einer Sache überschrieben — ungeachtet 
potentieller Folgeprobleme einer eigentumsrechtlichen Zuordnung. Diese Probleme de lege 
ferenda aufzeigend und daher eine Analogie zu $$ 99, 100 BGB ablehnend Schulz, PinG 2018, 
72 (75). Den Ansatz von Grosskopf ablehnend Zech, CR 2015, 137 (142) mit ausführlicher 
aA in Zech, Information als Schutzgegenstand, S. 221 f sowie Haustein, Möglichkeiten und 
Grenzen von Dateneigentum, S. 169 f. und Stresemann in: Säcker etal., MüKo BGB, Bd. I, $ 
99, Rn. 5 aE. 
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oder eines Rechts, setzen also eine vom Gesetzgeber vorgesehene „Hauptrechts- 
position“ voraus. Mit dem Verneinen des zivilrechtlichen Eigentumsbegriffs gem. 
§§ 903 S. 1, 90 BGB kann also auch kein Fall der $$ 99, 100 BGB vorliegen. ’®* 
Hinzu tritt bei verfassungsrechtlicher Würdigung der Übertragung und Aufgabe 
von Eigentum, dass auch das datenmäßige — persönlichkeitsrechtlich geprägte — 
Dateneigentum vollends aufgegeben werden müsste. Die Aufgabe der Kontrolle 
über persönliche Daten mit entsprechender Nähe zum Kernbereich privater Le- 
bensgestaltung sowie der Menschenwürde des Art. 1 Abs. 1 GG ist allerdings 
kritisch zu betrachten.’®° Fernerhin wird gelegentlich ein eigenständiges Datenei- 
gentum aus $ 823 Abs. 1 BGB im Rahmen der „sonstigen Rechte“ zuerkannt. ’$° 
Dies ist jedoch nicht mit dem im Rahmen der (politischen’®’) Diskussion ge- 
meinten Eigentumsrecht zu vergleichen, sondern bezieht sich lediglich auf einen 
deliktischen Schadensersatzanspruch auf Basis des Allgemeinen Persönlichkeits- 
rechts als sonstiges Recht iSd $ 823 Abs. 1 BGB aE. Ein eigenständiges, als Teil 
der Eigentumsordnung anerkanntes Eigentumsrecht ist darin nicht zu sehen. 


Während ein Dateneigentum nach den allgemeinen zivilrechtlichen Regelungen 
ausscheidet, ließe sich möglicherweise eine Parallele zu Regelungen des Immate- 
rialgüterrechts ziehen. Dafür spricht prima facie die fehlende Haptik von Daten 
gleichermaßen wie bei Immaterialgüterrechten. Obschon das Leitbild des Art. 14 
Abs. 1 GG ein anderes ist, war die Ausgestaltung von Verfügungs- und Verwer- 
tungsrechten derartiger Positionen zur Schaffung von Inhaltsbestimmungen iSd 


784 So auch Zech, CR 2015, 137 (142). Aus weiteren Gründen ablehnend Schulz, PinG 2018, 72 
(74), Specht, CR 2016, 288 (292); Härting, CR 2016, 646 (647). Vgl. hinsichtlich Nießbrauch 
und Pfandrecht Faust, Ausschließlichkeitsrecht an Daten?, S. 85 (96). 

785 Peifer, GRUR 2002, 495 (500); BVerfGE 65, 1 (43). 

786 Hierzu Bartsch, FS Schneider, S. 297 ff, Wagner in: Säcker et al., MüKo BGB, Bd. VI, $ 823, 
Rn. 336 ff, Spindler in: Gsell et al., BeckOGK BGB, $ 823, Rn. 184 ff, Heymann, CR 2016, 
650 (651 f). Bloß auf die Schutzlücke hinweisend Faust, Ausschließlichkeitsrecht an Daten?, S. 
85 (94 f). Lediglich hinsichtlich des GGVIS und Datenverlust betrachtend Faust, NIW-Beilage 
2016, 29 (32); Grützmacher, CR 2016, 485 (489 f); Härting, CR 2016, 646 (649). Wohl 
ablehnend Fezer, Repräsentatives Dateneigentum, S. 32. 

787 Vgl. hierzu nur Determann, ZD 2018, 503 (506 f) sowie die weitere Rezeption unter 
D.1.1.d)aa)(3). 
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Art. 14 Abs. 1 S. 2 GG notwendig.’®® Beispielsweise sind auch Werke iSd $ 2 
Abs. 2 UrhG gespeichertes Eigentum iSe gespeicherten, verkörperten geistigen 
Leistung. In der Literatur finden sich diverse Ansätze, eine brauchbare Parallele 
aus dem Urheberrecht aufzuzeigen. Bevorzugt wird der Ansatz, auf der Basis 
des Datenbankwerks nach $ 4 Abs. 2 UrhG oder den Regelungen zum Schutz 
des Datenbankherstellers nach $$ 87a ff UrhG aufzubauen. So wird hinsicht- 
lich des $ 4 Abs. 2 UrhG und dem Begriff des Datenbankwerks diskutiert, ob 
er sich per definitionem der Begriff nicht schon für eine Anwendung auf Daten 
eignet.” Prinzipiell ist dies nachvollziehbar, setzt die Legaldefinition des $ 4 
Abs. 2 S. 1 UrhG doch als Unterfall des Sammelwerks’? eine methodische, sys- 
tematische Anordnung unter Verwendung elektronischer Mittel voraus. So ist sie 
schon bei einer einfachen, alphabetischen oder chronologischen Sortierung an- 
zunehmen. ””! Dies darf jedoch nicht vollautomatisiert geschehen, sondern muss 
iSe persönlichen geistigen Schöpfung des § 2 Abs. 2 UrhG die Individualität und 
Persönlichkeit des Urhebers durchscheinen lassen. ’””? Dagegen stellt das Recht des 
Datenbankherstellers gem. $ 87a Abs. 1 S. 1 UrhG auf eine Investition von Zeit, 
Geld oder Mühe ab,’”? übernimmt jedoch wortgleich die übrigen Voraussetzun- 
gen an Datenbanken aus $ 4 Abs. 2 1 UrhG’?*, Ebenso „wortgleich“ sind beide 
hinsichtlich ihres Normzwecks und ihrer Prägung durch Investitionsmomente ab- 
zulehnen: In beiden Fällen wird nicht das einzelne Datum, sondern entsprechend 
dem Schutzzweck der Norm die Struktur- bzw. Investitionsleistung geschützt und 


788 Vgl. hierzu zum geistigen Eigentum in der Dogmatik des Art. 14 GG Papier/Shirvani in: 
Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 314 ff; Stern, StaatsR IV/1, S. 2195 f. 

789 Vgl. Dorner, CR 2014, 617 (621). 

790 § 4 Abs. 2 S. 1 Hs. 1 UrhG; Ahlberg/Lauber-Rönsberg in: Ahlberg/Götting/Lauber-Röns- 
berg, BeckOK UrhR, $ 4 UrhG, Rn. 18. 

791  Thum/Hermes in: Wandtke/Bullinger, Praxiskommentar UrhR, $ 87a UrhG, Rn. 25. 

792 Marquardt in: Wandtke/Bullinger, Praxiskommentar UrhR, $ 4 UrhG, Rn. 8; Schulze in: Dreier/ 
Schulze, UrhG, $ 2, Rn. 8; Auer-Reinsdorff , FS Schneider, S. 205 (Rn. 42 ff). Vgl. auch Zech, CR 
2015, 137 (141). 

793 _ Vohwinkel in: Ahlberg/Götting/Lauber-Rönsberg, BeckOK UrhR, $ 87a UrhG, Rn. 55; Auer- 
Reinsdorff, FS Schneider, S. 205 (Rn. 24-26). 

794 Ähnlich auch Auer-Reinsdorff, FS Schneider, S. 205 (Rn. 39). 
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mit vermögenswerten Rechten versehen.” Dabei geht das Datum oder das Ele- 
ment einer Datenbank nicht in die Datenbankstruktur über bzw. verschmelzen 
sie nicht — ausgenommen die Datenbank zeichnet sich durch eine Vielzahl von 
Unterstrukturen und -verzweigungen aus. Auch dann ist aber nur die Eigenart 
der Verzweigung geschützt, nicht das verzweigte Datum selbst. Weitergehende 
Ansätze eines Eigentumsrechts aus dem Urheberrecht an Computerprogrammen 
gem. $$ 69a ff UrhG’ oder originär aus $ 2 Abs. 2 UrhG schlagen ebenfalls 
fehl. Gegen den Computerprogramm-Vorschlag spricht ebenso der Normzweck, 
welcher sich wie § 4 Abs. 2 und $ 87a Abs. 1 1 UrhG dem Fruchtbarmachen der In- 
vestition menschlicher, technischer und finanzieller Mittel verschrieben hat’?”.’?8 
Ein eigenständiger Schutz als persönliche geistige Schöpfung im Sinne des $ 2 
Abs. 2 UrhG kann dagegen nur dann Erfolgen, wenn die digitale Identität in ihrer 
Kombination aus Einzeldaten eine Prägung der Urheberpersönlichkeit feststellen 
lässt, zugleich aber nicht bloß die personenbezogenen Daten des Urhebers wie- 
dergibt. Das Urheberrecht als solches würdigt mit der Schöpfung bzw. dem Werk 
lediglich einen besonderen Teil der Persönlichkeit, welcher durch Gestaltungs- 
mittel verzerrt, verfremdet und ggf. entkoppelt werden kann.” Demnach ist der 
Ansatz nur brauchbar, wenn es sich bei der digitalen Identität um eine Kunstfi- 
gur im Sinne eines Alter Ego handelt. Zumindest findet sich darin die Parallele 
eines urheberrechtlichen Schutzes von einzelnen Romanfiguren eines Buches, 
welcher vom Bundesgerichtshof angenommen wurde. Eine dahingehend ver- 
tiefte Auseinandersetzung von Kunstfiguren in der Digitalisierung bedarf jedoch 


795 StRspr EuGH, Urteil vom 09. November 2004, Az. C-203/02, Rn. 31 ff; Dorner, CR 2014, 617 
(621, 622); Zech, CR 2015, 137 (141, 143). Nur zu $$ 87a ff UrhG siehe Specht, CR 2016, 288 
(293 f); Ensthaler, NIW 2016, 3473 (3475 f); Grützmacher, CR 2016, 485 (491); Hoeren, Big 
Data und Recht, S. 22 f, Drexl et al., GRUR Int. 2016, 914 (915 f). Vgl. auch BGH GRUR 1999, 
923 (924) — Tele-Info-CD. Bei Teildatensätzen annehmend Grützmacher, CR 2016, 485 (488), 
was dem Inhaber einer digitalen Identität aber ebenfalls kein Eigentumsrecht zuordnen würde. 
Vielmehr vererbt sich die Investitionsleistung auch auf Datenbankteile. 

796 Ohne eine Nennung weiterer Vertreter Härting, CR 2016, 646 (647); Wolff in: Laufhütte/Saan/ 
Tiedemann, Leipziger Kommentar StGB, $ 303a, Rn. 2. 

797 ErwGr 2 RL 2009/24/EG — Computerprogramm-RL. 

798 Ferner ablehnend aufgrund mangelnden Werkcharakters Zech, CR 2015, 137 (141). 

799 Vgl. Ernst, Weg zum Digitalen Staat, S. 33 (50). 

800 BGH GRUR 2014, 258 (Rn. 27) — Pipi Langstrumpf. 
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801 


einer eigenen rechtswissenschaftlichen Betrachtung.” Ein gesonderter Schutz 


kraft Immaterialgüterrecht ist de lege lata nicht ersichtlich®; das Urheberrecht 


hat keinen persönlichkeitsrechtlichen Bezug.°"? 


In Ermangelung einer geeigneten Zuordnung innerhalb der zivilrechtlichen Be- 
grifflichkeiten wurden in der rechtswissenschaftlichen Literatur Stimmen laut, ein 
nach dem Vorbild bestehender Immaterialgüterrechte ausgeformtes Immaterialgü- 
terrecht an Daten sui generis zu etablieren. Dieses „Recht des Datenerzeugers‘“®"* 
würde voraussetzten, dass der politisch beabsichtigte Zuordnungsgedanke in die 
Tat umgesetzt würde und dementsprechend neue Rechtsverhältnisse zwischen Ak- 
teuren möglich wären. Durch das „Verrechtlichen“ des (alltäglichen) Umgangs mit 
Daten und Informationen im Zeitalter des Big Data könnten entsprechend Anreize 
zum Schaffen von Daten und Verarbeitungsmöglichkeiten (konkret: Algorithmen) 
gesetzt werden.®” Außerdem würde ein Offenbarungsgedanke gefördert, gehei- 
me Informationsgüter bei Aussicht auf ein Entgelt offenzulegen.®” Was Zech in 
seiner für die Diskussion um das Dateneigentum fundamentgebenden Publika- 
tion jedoch meint ist das Eigentumsrecht an technischen Daten ohne jeglichen 
Personenbezug, wie sich am Beispiel von Maschinendaten auf einem Bauern- 
hof erkennen lässt. Dementsprechend räumt Zech leider nicht die Bedenken von 


807 aus wie beabsichtigt®®. Dies vermag aber auch nicht durch weitere, 


809 810 


Dorner 


spätere Beiträge von Ensthaler”” und Fezer”" zu gelingen. Ensthaler widmet 


sich ebenfalls nur der Verwertung von Maschinendaten, wozu er $ 950 BGB 


801 Vgl. Redeker, CR 2011, 634 (636), welcher lediglich das Durchschlagen eines persönlich- 
keitsrechtlichen Schadens von der Kunstfigur auf die tatsächliche Person bespricht. Treffender 
dagegen, wenngleich ebenso oberflächlich, die Ausführungen zu Avatarpersönlichkeiten in 
Berberich, Virtuelles Eigentum, S. 104-105. 

802 Dorner, CR 2014, 617 (622, 626). 

803 Vgl. Vohwinkel in: Ahlberg/Götting/Lauber-Rönsberg, BeckOK UrhR, $ 87a Abs. 1 UrhG, Rn. 
4. 

804 So bezeichnend Zech, CR 2015, 137 (144). 

805 So Zech, CR 2015, 137 (144 f). 

806 Zech, CR 2015, 137 (145). 

807 Siehe Dorner, CR 2014, 617 (626). 

808 So einleitend Zech, CR 2015, 137 (144). 

809  Ensthaler, NIW 2016, 3473 ff. 

810 Fezer, MMR 2017, 3 ff sowie Fezer, ZD 2017, 99 ff. 
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sowie das Datenbankrecht als Inspiration nutzt und ein unmittelbares Recht an 
Maschinendaten konstruiert.®!! Der Ansatz lässt sich allerdings nicht auf perso- 
nenbezogene Daten übertragen, da sich bei einer solchen Regelung der sogleich zu 
diskutierende Kulminationspunkt zweier verfassungsrechtlicher Rechtsgüter — das 
Grundrecht auf informationelle Selbstbestimmung und die Eigentumsgarantie — 
findet. Weiter schlägt Fezer ein „repräsentatives Dateneigentum“ als Abwehr- und 
Vermögensrecht des Datenproduzenten vor.®!? Dies soll (zunächst) nur verhaltens- 
generierte Daten umfassen und daher personenbezogene Daten ausschließen®>, 
was vor dem Hintergrund der aktuell weiten Definition der Personenbeziehbarkeit 
von Daten allerdings fragwürdig erscheint. Beispielsweise ordnet der Europäische 
Datenschutzbeauftragte durch das Nutzerverhalten generierte Daten als personen- 
bezogen ein und lehnt die Regulierung personenbezogener Daten als Eigentum 
ab.?!* Möglicherweise führte dies auch zum erkennbaren Dissens im erweiterten 
Vorschlag: Einerseits geht der Ansatz von „reflexiven Daten“ als Gegenstand des 
Dateneigentums und Sammelbegriff für personenbeziehbare, verhaltensgenerierte 
und maschinengenerierte Daten aus®! und bezeichnet personenbezogene Daten 


816 statuiert aber 


zwischenzeitlich als ein Segment der verhaltensgenerierten Daten 
andererseits: „Regelungsgegenstand des Datenschutzrechts sind personenbezoge- 
ne Daten, Regelungsgegenstand des Dateneigentumsrechts sind verhaltensgene- 
rierte Daten.“®!7 So werden verschiedene Gegenstände und damit Rechtsmaterien 
vermischt, bei der Ausformung des repräsentativen Dateneigentums allerdings 
ohne erkennbare Abgrenzungsmerkmale voneinander getrennt. Daher geht letzt- 
genannte Schlussfolgerung nur dann auf, wenn — wie sogleich unter D.I.1.d)aa)(3) 


zu erörtern — verhaltensgenerierte Daten als nicht-personenbezogene Daten zu 


811 Ensthaler, NJW 2016, 3473 (3474). Zu den ökonomischen Aspekten eines Eigentums sui 
generis an Maschinendaten siehe Kerber, GRUR Int. 2016, 989 ff. 

812  Fezer, MMR 2017, 3 (3), Fezer, ZD 2017, 99 (102). Umfangreich konzeptionell darlegend in 
Fezer, Repräsentatives Dateneigentum sowie gekürzt in Fezer, Digitales Dateneigentum - ein 
grundrechtsdogmatisches Bürgerrecht in der Zivilgesellschaft, S. 101 ff. 

813  Fezer, ZD 2017, 99 (101). 

814 Siehe Buttarelli, Opinion 4/2017, S. 3, 6. 

815  Fezer, Repräsentatives Dateneigentum, S. 35 ff. 

816  Fezer, Repräsentatives Dateneigentum, S. 40 f. 

817  Fezer, Repräsentatives Dateneigentum, S. 46. 
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qualifizieren sind. Darüber hinaus wird die Aufgabe der Abgrenzung, Verwal- 
tung und (dogmatisch sauberen) Einordnung der Daten nach Vorstellung von 
Fezer in die Hände einer sog. Datenagentur gelegt. Ihre Hauptaufgabe soll sein, 
„als Repräsentant der Bürger mit den Unternehmen und/oder deren Repräsentan- 
ten die Digitalisierungsbedingungen einer digitalen Generierung der Bürgerdaten 


und deren weitere Verwendung“ zu verhandeln®'® 


, unter Berücksichtigung da- 
tenschutzrechtlicher Prinzipien wie der Transparenz, der Datenportabilität sowie 
Interoperabilität®!?. Augenscheinlich wird auch an dieser Stelle trotz ausdrückli- 
chem zivilrechtlichem Schwerpunkt??? das Datenschutzrecht beliehen, auch wenn 
es sich nicht um personenbezogene bzw. -beziehbare Daten handelt und nach An- 
sicht von Fezer ein eigenständiges, vom Datenschutzrecht gelöstes Rechtsinstitut 
gelten müsse®?!. Folglich bleibt zweifelhaft, inwiefern das Konstrukt trotz sei- 
ner durch zivilrechtliche Ausgestaltung gestärkten Datensouveränität ebendiese 
unmittelbar bei den Grundrechtsträgern und Datensubjekten belässt. Weiter lässt 
sich daran zweifeln, dass die faktisch getrennte Eigentümerstellung hinsichtlich 
der Hardware und der darauf befindlichen Daten, sofern sie auseinanderfällt, un- 
problematisch durchsetzbar wäre.®?” Das Einräumen dinglicher Berechtigungen 
zu Lasten des Eigentums des anderen mag zwischen Privatpersonen noch zu regeln 
sein®?, bedeutet aber bei Cloud-Speichern in der Konsequenz selbige Rechtespo- 
sitionen und entsprechendes Problempotential®**.??° Letztendlich bleibt die Not- 
wendigkeit eines eigenständigen Rechts am Dateneigentum und die (legislative) 
Auflösung eben aufgezeigter Konflikte erst abschließend zu diskutieren. 


818  Fezer, Digitales Dateneigentum — ein grundrechtsdogmatisches Bürgerrecht in der Zivilgesell- 
schaft, S. 101 (155); Fezer, Repräsentatives Dateneigentum, S. 77/78. 

819 Siehe Fezer, Repräsentatives Dateneigentum, S. 80 ff. 

820  Fezer, Repräsentatives Dateneigentum, S. 77: „Rechtskonstitution eines repräsentativen Daten- 
eigentums als ein Bürgerrecht sui generis mit zivilgesellschaftlicher Gestaltungskompetenz der 
Bürger“ — Hervorhebung im Original nicht enthalten. 

821 Vgl. Fezer, Repräsentatives Dateneigentum, S. 33, 38, 46. 

822 Vgl. Ernst, Weg zum Digitalen Staat, S. 33 (53 f). 

823 Hierzu einen Vorschlag auf Basis der Rechtsprechung zum virtuellen Hausrecht darstellend 
Berberich, Virtuelles Eigentum, S. 105 ff. 

824 Kutscher, Der digitale Nachlass, S. 28/29. Eine Lösung durch differenzierte Lese- und Schreib- 
rechte aufzeigend Martini et al., MMR-Beil 2021, 3 (16 ff). 

825 Aus weiteren Gründen zweifelnd Stender-Vorwachs/Steege, NJOZ 2018, 1361 (1365); Kut- 
scher, Der digitale Nachlass, S. 27 f. 
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Schließlich könnte sich eine Analogie aus dem Strafrecht ergeben, welche den 
Ansatz von Fezer obsolet werden lässt. Nicht selten — und berechtigterweise — 
wurde in der rechtswissenschaftlichen Literatur der strafrechtliche Datenbegriff 
umgarnt.®?° Grundlage hierfür bildet der sog. Skripturakt: Zurückgehend auf 
Welp, ist darunter im Rahmen des $ 202d bzw. $ 303a StGB die Zuordnung des 
(strafrechtlichen) Datums zum Verfügungsbefugten qua initiierender Datenerstel- 
lung zu verstehen. Dateninhaber ist zunächst derjenige, der die Daten erzeugt 
und damit die Speicherung oder Übermittlung selbst unmittelbar bewirkt hat.°?7 
Dabei soll auch der Wille des Verfügungsberechtigten einbezogen werden®®; 
ebenso dienen Schutzvorkehrungen wie Passwörter als Indiz für eine Befugnis®”. 
Die Definition fängt insofern das von der Literatur’? gesehene und im Rahmen 
des Regierungsentwurfs verworfene®®! Schutzgut auf, das sich im Schutz des 
formellen Datengeheimnisses und der dahinter stehenden Privatsphäre sowie der 
Verfügungsbefugnis als Ausprägung der informationellen Selbstbestimmung er- 
schöpft. Mithin wird im Schutz des Datenbestandes selbst auch ein Aspekt des 
Grundrechts auf Gewährleistung der Vertraulichkeit und Integrität informations- 
technischer Systeme gesehen.®?? Trotz dieser Prägung ist das Datengeheimnis 
formell, umfasst also nicht ausschließlich bestimmte Arten von Daten und ist 


826 Allen voran — und wiederholt - Hoeren, MMR 2013, 486 ff sowie Hoeren, Big Data und Recht, 
S. 11 ff und zuletzt Hoeren, MMR 2019, 5 ff. Ferner Grützmacher, CR 2016, 485 (490 f); 
Schulz, PinG 2018, 72 (73 f), Dorner, CR 2014, 617 (618), Markendorf, ZD 2018, 409 (410 
f): 

827 Welp, iur 1988, 443 (447). Später auch von der Rechtsprechung übernommen, siehe OLG Nürn- 
berg, Beschluss v. 23.01.2013 — Az. 1 Ws 445/12 —, Rn. 14. Dagegen lediglich auf ausdrücklich 
oder stillschweigend geäußerte Voraussetzungen bzw. Vereinbarungen des Verfügungsberech- 
tigten abstellend Hilgendorf, JuS 1996, 509 (512). 

828 Heger in: Lackner/Kühl, StGB-Kommentar, $ 202a, Rn. 3; Hilgendorf , JuS 1996, 509 (512); 
Kargl in: Kindhäuser/Neumann/Paeffgen, StGB, $ 202a, Rn. 7. 

829 Vgl. LAG Köln, Urt. v. 15.12.2003 - Az. 2 Sa 816/03 —, Rn. 23 = NZA-RR 2004, 527. 

830 So Hilgendorf, JuS 1996, 509 (511); Golla/von zur Mühlen, IZ 2014, 668 (670). Lediglich 
den formellen Geheimnisschutz anerkennend Eisele in: Schönke/Schröder, StGB-Kommentar, 
$ 202a, Rn. 1; Kargl in: Kindhäuser/Neumann/Paeffgen, StGB, $ 202a, Rn. 3; Berghäuser, JA 
2017, 244 (245); Popp, JuS 2011, 385 (386). 

831 So Stuckenberg, ZIS 2016, 526 (530). 

832 Vgl. Welp, iur 1988, 443 (448); Dorner, CR 2014, 617 (618); Schulz, PinG 2018, 72 (73). 
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daher weit zu verstehen®®. Er schließt ebenso personenbezogene Daten ein. Dies 
zum Anlass nehmend, formte sich in der Diskussion um das Dateneigentum die 
Übertragbarkeit der Grundsätze des Skripturaktes auf das zivilrechtliche Eigen- 
tum iSd $ 903 BGB. Demnach ist ein Eigentumsrecht an Daten ebenso nach der 
Skriptur eines Datums auszurichten, das den Skribenten sowohl mit Vermögens- 
als auch Ausschließlichkeitsrechten ausstattet.°* Indes, und trotz der bei Ein- 
beziehung des Skriptur-Ansatzes erkennbaren Parallele zur Eigentümerstellung 
des $ 903 BGB, erscheint es fraglich, ein Dateneigentum auf einer Definition 
aufzubauen, die aufgrund von Zweifeln an der Bestimmtheit des $ 202a StGB 
geschaffen wurde®°°. Zwar ist es gerade die Arbeit der Wissenschaft und Recht- 
sprechung, weite Rechtsbegriffe zu konkretisieren. Dies kann jedoch nicht über 
den speziellen Bestimmtheitsgrundsatz des Art. 103 Abs. 2 GG hinweghelfen, 
auch bei einer engen Auslegung®?°.%’ Die entsprechende Regelungsdichte bei 
Straftatbeständen muss die Legislative selbst herstellen; sie kann nicht auf Exeku- 
tive, Judikative oder die erkenntnissuchende Wissenschaft abgewälzt werden.?® 
Wann eine Skriptur vorliegt, ist für den Bürger als Norm- und Verhaltensadres- 
saten wohl kaum nachvollziehbar. Vielmehr bedarf es konkreter Regelungen, um 
den Anforderungen der Institutsgarantie des Art. 14 Abs. 1 GG gerecht zu werden. 
Sowohl die Inhalte als auch Schranken sind durch den Gesetzgeber festzulegen, 
Art. 14 Abs. 1 S. 2 GG. In der Tiefe vermag der Ansatz ebenso nicht überzeugen, 
berücksichtigt er nicht die mangelnde Rivalität, Exklusivität und Abnutzbarkeit 
von Daten. Auch bei Zurückverfolgen des Skribenten bzw. des Moments der 
Erstspeicherung kann das Datum vervielfältigt und ggf. manipuliert werden; ein 


833  Singelnstein, ZIS 2016, 432 (432, 434); Stuckenberg, ZIS 2016, 526 (531); Berghäuser, JA 
2017, 244 (245). 

834 Hoeren, MMR 2013, 483 (487 f, 490 ff); vgl. auch Dorner, CR 2014, 617 (618). 

835  Gollalvon zur Mühlen, JZ 2014, 668 (670); Singelnstein, ZIS 2016, 432 (435 f); Grützma- 
cher, CR 2016, 485 (491 f); OLG Nürnberg, Beschluss v. 23.01.2013 — Az. 1 Ws 445/12 —, 
Rn. 11. 

836 Hierzu OLG Nürnberg, Beschluss v. 23.01.2013 — Az. 1 Ws 445/12 -, Rn. 11. 

837 Wegen fehlender zivilrechtsimmanenter Regelung ebenfalls ablehnend Haustein, Möglichkeiten 
und Grenzen von Dateneigentum, S. 77 ff. 

838 Remmert in: Maunz/Dürig, GG-Kommentar, Art. 103 I, Rn. 87, 106 f. 

839 Stuckenberg, ZIS 2016, 526 (532). 
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rechtliche Durchsetzbarkeit nach unberechtigter Vervielfältigung bleibt weiter- 
hin fragwürdig. Überdies ist die Umsetzung der Theorie in technischer Hinsicht 
starken Zweifeln ausgesetzt: Um die Skribentenstellung auch außerhalb des Herr- 
schaftsbereiches des Skribenten erkennen zu können, bedarf es einer eindeutigen 
und universellen Erkennbarkeit — insbesondere vor dem Hintergrund der Publi- 
zität des Sachenrechts®*.%*! Dies ließe sich beispielsweise als Präfix oder di- 
gitaler Fingerabdruck bewerkstelligen, der bei der Erstellung von Dokumenten 
und anderen Dateien stets implementiert wird. Jede Datei erhält auf diese Wei- 
se eine digitale Signatur, wobei einst auch der digitale Personalausweis hierzu 
genutzt werden sollte®*?. Exemplarisch: Geeigneter, da der breiten Öffentlichkeit 
zugänglich, erscheint sogar eine staatliche, dezentral verwaltete Blockchain, wel- 
che die originären Eigentumsrechte ebenso abbildet wie die abgegebenen bzw. 
erteilten Nutzungsrechte.°* Das Frage nach der allgemeinen Zugänglichkeit und 
Verständlichkeit der Blockchain, ein potentielles Manipulationsrisiko aufgrund 
Sicherheitslücken oder durch einen Mehrheits-Angriff®** sowie letztlich die da- 
durch entstehende Verknüpfung von personenbezogenen Daten mit Hash-Werten, 


welche dann nur noch als Pseudonyme fungieren®® 


, stehen dieser Idee entgegen. 
Maschinendaten, die mit dem personalisierten Public und Private Key verknüpft 
wurden und wegen des Blockchain-Ansatzes untrennbar bzw. unlöschbar sind, 
sind dann zugleich Gegenstand des Datenschutzrechts — das Grundrecht auf in- 
formationelle Selbstbestimmung und das Eigentumsrecht des Art. 14 Abs. 1 GG 
müssen dann in ein angemessenes Verhältnis gesetzt werden, um auf fruchtbarem 
Rechtsboden zu stehen. Unter anderem müsste das (datenschutzrechtliche) Recht 
846, 


auf Vergessenwerden, das bei einer Blockchain ohnehin problematisch is mit 


840 Hierzu Oechsler in: Säcker et al., MüKo BGB, Bd. VII, $ 932, Rn. 5 f; Prütting, Sachenrecht, 
38 f. 

841 Dies ebenso beispielhaft aufzeigend Singelnstein, ZIS 2016, 432 (433); Specht! Rohmer, PinG 
2016, 127 (129). 

842 Siehe die Unterschriftswirkung der elektronischen Signatur des Personalausweises gem. Art. 25 
Abs. 2, 3 Nr. 23 eIDAS-VO, $ 22 PAuswG sowie Borges, NIW 2010, 3334 (3335). 

843 Dies vorschlagend Markendorf, ZD 2018, 409 (412 f). 

844 Siehe hierzu Pesch, Cryptocoin-Schulden, S. 33 f. 

845 Vgl. hierzu Klar/Kühling in: Kühling/Buchner, DSGVO, Art. 4 Nr. 1 DSGVO, Rn. 34. 

846 Hierzu ausführlich Martini/Weinzierl, NVwZ 2017, 1251 ff. 
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der immerwährenden Publizitätswirkung in Einklang gebracht werden. Darüber 
hinaus setzen die genannten technischen Möglichkeiten für eine objektive Er- 
kennbarkeit entsprechende Datei- und Betriebssysteme oder Verknüpfungen in 
bestehenden Systemen und nationale wie internationale Standards voraus, die al- 
lesamt bislang nicht ersichtlich sind. Ein Dateneigentum analog $ 903 BGB auf 
Basis der Skriptur aufzubauen ist demnach ein labiles Gerüst, dessen Tragkraft 
auch in Zukunft nicht zu überzeugen vermag. Auch letzte „Baumaßnahmen“ in 
dieser Hinsicht durch Hoeren, welcher das Dateneigentum gegen den Datenbesitz 


eintauscht®*’ und damit den Ansatz von Redeker®*® 


aufgreift, Können die Trag- 
kraft oder argumentative Standfestigkeit nicht verbessern.®® Schließlich fehlt es 
weiterhin an der Publizität und den weiteren dargelegten Möglichkeiten; auch der 
Besitz ist von der Prärogative des Art. 14 Abs. 1 S. 2 GG umfasst?” und macht 


konkrete einfachgesetzliche Regelungen erforderlich. 


Zusammenfassend ist in keiner der Disziplinen der Rechtswissenschaft ein brauch- 
barer Ansatz für ein Eigentum an personenbezogen Daten und damit auch digitalen 
Identitäten ersichtlich.®>' 


(3) Notwendigkeit einer eigenständigen Regelung: Eine Frage des 
Schutzguts 


Doch, ist die Diskussion tatsächlich ausgefochten und mit Geltung der Daten- 
schutz-Grundverordnung überwunden? Der erneute Ansatz von Hoeren deutet 
das Gegenteil an. Für eine tatsächliche Antwort — und damit auch eine Antwort 


847 Hoeren, MMR 2019, 5 ff, wobei der Autor lediglich den Begriff austauscht, in der Argu- 
mentation allerdings weitgehend gleich bleibt — vgl. Hoeren, MMR 2013, 486 (487 ff) sowie 
Hoeren, Big Data und Recht, S. 11-38. Dagegen wohl den von Hoeren gemeinten „blanken 
Besitz“ prinzipiell befürwortend Michl, NJW 2019, 2729 (2730 ff). Im Ergebnis kehrt jedoch 
auch Michl zu den persönlichkeitsrechtlichen Interessen zurück. 

848 Siehe Redeker, CR 2011, 634 (639). 

849 Zur Zweifelhaftigkeit des digitalen Besitzes siehe vgl. Kutscher, Der digitale Nachlass, S. 28 f. 

850  Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 323. Vgl. BVerfGE 89, 1 (5 f). 

851 Mit gleichem Ergebnis Schulz, PinG 2018, 72 (74 f). Vgl. auch Dorner, CR 2014, 617 (626); 
Drexl etal., GRUR Int. 2016, 914 (914); Determann, MMR 2018, 277 (278). 
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auf die Frage der Notwendigkeit eines Dateneigentums — sind die jeweiligen 
Schutzgüter der Grundrechte vertiefend zu betrachten. 


„Daten haben einen wirtschaftlichen Wert.“ — diese herrschende Ansicht wird so 
oder in anderer Formulierung vorgetragen, sei es unter Verweis auf unzählige Ver- 
gleiche mit Gold, Öl oder generell als zentrales Wirtschaftsgut.°°° Der Tatsache, 
dass personenbezogene Daten per se einen Gegenwert besitzen, wohnt insofern 
die normative Kraft des Faktischen inne.” Die (neue) Regelung des $ 312 Abs. la 
BGB manifestiert diese Diskussion letztlich — wenn auch nicht synallagmatisch®°* 
—, zurückgehend auf ErwGr 24 und Art. 3 Abs. 1 UAbs. 2 RL (EU) 2019/770 
(Digitale-Inhalte-Richtlinie). Ein tatsächlicher, ökonomischer Wert oder abstrak- 
te Wertschöpfungsmaßstäbe sind nicht ersichtlich. Der Wert der Daten bemisst 
sich nicht an einer allgemeingültigen Währungsordnung; Daten haben je Vertrags- 
partner und Vereinbarung einen unterschiedlichen Wert.°°° Dafür spricht auch, 
dass gelegentlich in Ermangelung von Rechtsgrundlagen auf die Privatautonomie 
und die vertragliche „Lizenzierung“ der eigenen Daten abgestellt wird.®5° Daher 
erscheint die Einordnung in die Materie des Art. 14 Abs. 1 GG naheliegend, wo 
unkörperliche „Vermögensgüter“ verschiedenen Vertragstypen des BGB - und 


so auch personenbezogene Daten — unterliegen könnten!” 


. Demgemäß bedarf es 
prima facie einer Aktivierung des Schutzgutes für das konstitutive Handeln des 


Gesetzgebers. Dies wird in Belangen des Art. 14 Abs. 1 GG dann aktiviert, wenn 


852 Siehe grundlegend Wandtke, MMR 2017, 6 (7 f) sowie Bisges, MMR 2017, 301 (301 f); 
Dickmann, RuS 2018, 345 (345); Markendorf, ZD 2018, 409 (411); Fezer, MMR 2017, 3 (3); 
Schefzig, DSRITB 2015, 551 (551); Alexander, K&R 2016, 301 (304); Lehmann, FS Schneider, 
S. 133 (133) — regelmäßig ohne Verweis oder unter Verweis auf erstere. Als zivilrechtlichen 
Leistungsgegenstand iSd $$ 241, 362 BGB einordnend Langhanke, Daten als Leistung, S. 97 
f. Eine Wertzuordnung durch Datenverknüpfung aufzeigend Bisges, MMR 2017, 301 (302 f). 
Der Verfasser erhebt keinen Anspruch auf Vollständigkeit. 

853 Vgl. Wandtke, MMR 2017, 6 (9). 

854 Martens in: Hau/Poseck, BeckOK BGB, $ 312, Rn. 10a. 

855 Vgl. auch Beise, RDi 2021, 597 (600). Zu Faktoren der Wertbemessung siehe ausführlich von 
Lewinski, Wert von personenbezogenen Daten, S. 209 ff. 

856 Vgl. zur sog. Datenlizenz Schefzig, DSRITB 2015, 551 ff; Schwartmann/Hentsch, PinG 2016, 
117 (124). 

857 So kann es sich um einen Kaufvertrag über unkörperliche Güter gem. $$ 453 Abs. 1 Alt. 2, 
433 ff BGB oder einen Tauschvertrag gem. $$ 480, 433 ff BGB handeln - so Markendorf, ZD 
2018, 409 (410); vgl. Lehmann, FS Schneider, S. 133 (134). 
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die Zubilligung eines Martkwertes durch die Gesellschaft erfolgt ist oder sich der- 
art abzeichnet, als dass der Gesetzgeber entsprechende Inhalte manifestieren und 
Schranken zum Schutz bestehender (Grund-)Rechte festlegen muss.°°® Auf diese 
Weise gewährleistet der Gesetzgeber, einen Freiheitsraum in vermögensrechtlicher 
Hinsicht abzusichern und jedem Grundrechtsträger ein selbstbestimmtes Leben zu 
ermöglichen.®°? Diese objektive, garantierende Schutzfunktion schlägt sich sub- 
jektiv in Form des bereits dargestellten®°", personalen Freiheitsrechts zum „Schutz 


“861 nieder.°°° Zudem soll der Schutz des Gegenwärtigen zu zu- 


des Erworbenen 
künftigen Leistungen anspornen, da auch diese qua Gewährleistungsfunktion des 
Art. 14 Abs. 1 GG vom Gesetzgeber zumindest mit Entstehen zu schützen sind.°°° 
Das Schutzgut des Art. 14 Abs. 1 GG lässt sich folglich nicht in wenige Worte fas- 
sen, sondern ist entsprechend seiner Konzeption vielseitig, erstreckt sich über eine 
Vielzahl an Funktionen und einzelnen Gewährleistungen.°°* Sie erschöpfen sich 
jedoch in einer allumfassenden Verfügungsfreiheit über vermögenswerte Güter 


und Rechte, die als vermögensrechtliche Privatautonomie zu begreifen ist.°6° 


Ähnlich zersplittert scheint das Schutzgut des Grundrechts auf informationelle 
Selbstbestimmung, blickt man auf die Zusammenfassung von Veil. Wohingegen 
das Bundesverfassungsgericht das Grundrecht bei seiner Taufe zum Schutz der 


858 Eschenbach, Der verfassungsrechtliche Schutz des Eigentums, S. 597 f. 

859  StRspr BVerfGE 24, 367 (389); 30, 292 (334); 53, 257 (290); 79, 292 (303 f); 97, 350 (370 
f); 100, 1 (32); 102, 1 (15); 104, 1 (8 f); 115, 97 (110); 134, 242 (290 f, Rn. 167); 143, 246 
(316 f, Rn. 195). Ferner Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, 
Band I, Art. 14, Rn. 1; Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 2; 
Eschenbach, Der verfassungsrechtliche Schutz des Eigentums, S. 595 f. 

860 Siehe D.I.1.d)aa)(1). 

861 Stern, StaatsR IV/1, S. 2126 mwN in Fn. 2. 

862 Wendt in: Sachs, GG, Art. 14, Rn. 12. Im Detail auch Papier/Shirvani in: Maunz/Dürig, GG- 
Kommentar, Art. 14, Rn. 3 ff; Meyer-Abich, Der Schutzzweck der Eigentumsgarantie, S. 25 
ff. 

863 Zu diesem Gedanken bereits ausführlich Meyer-Abich, Der Schutzzweck der Eigentumsgarantie, 
S. 26-28. 

864 Im Einzelnen siehe Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 3 ff sowie 
112 ff, ebenso tiefgehend Stern, StaatsR IV/1, S. 2128 ff zu den Kernelementen der Eigentums- 
garantie. 

865 Vgl. zum Aspekt der Privatautonomie Isensee in: Isensee/Kirchhof, HStR VII, $ 150, Rn. 64. 
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Selbstbestimmung vor dem Hintergrund neuer technischer Gefährdungen schuf®®, 
scheint der darin verankerte Datenschutz nach Ansicht der Wissenschaft in einer 
Vielzahl von Formulierungen zu bestehen. So schützt der Datenschutz nicht nur 
die „informationelle Selbstbestimmung“, sondern auch die „informationelle Un- 
versehrtheit“, „das Grundrecht auf e-privacy“ und bzw. oder die „informationelle 
Gewaltenteilung“ — um nur einige zu nennen.®°’ Rekurrierend auf die ausführ- 
liche Darstellung der umfassten datenschutzrechtlichen Prinzipien als Teil des 
Grundrechts auf informationelle Selbstbestimmung®°® ist festzustellen, dass diese 
Aspekte ebenso Teil des Schutzgehalts bzw. des Schutzgutes sind. Schutzgut sind 
nicht nur die personenbezogenen Daten und die Selbstbestimmung über ihren 
Verbleib und ihre Nutzung.®°° Neben Auskunfts- und Informationsrechten sind 
auch Aspekte der Vertraulichkeit (Stichwort: e-privacy) sowie die datenmäßi- 
ge Integrität im Sinne einer Richtigkeit des Datums (Stichwort: informationelle 
Unversehrtheit) umfasst. Dies leitet sich schon aus der Aussage des Bundesver- 
fassungsgerichts ab: „Wer nicht mit hinreichender Sicherheit überschauen kann, 
welche ihn betreffende Informationen in bestimmten Bereichen seiner sozialen 
Umwelt bekannt sind, und wer das Wissen möglicher Kommunikationspartner 
nicht einigermaßen abzuschätzen vermag, kann in seiner Freiheit wesentlich ge- 
hemmt werden, aus eigener Selbstbestimmung zu planen oder zu entscheiden.“®”® 
Ein Abschätzen und Überschauen der Verarbeitung der eigenen Daten — auch einer 
digitalen Identität — erfordert Transparenz ebenso wie die Richtigkeit der Informa- 
tionen. Weiter fungiert die „Richtigstellung“ als Mittel der Selbstdarstellung der 
Person, was letztlich auf die persönlichkeitsrechtliche Prägung des Grundrechts 


866 BVerfGE 65, 1 (41 f). 

867 Weitere Antworten auf die Frage nach dem Schutzgut nennend Veil, Schutzgutmisere des 
Datenschutzrechts (Teil I), Abschnitt „Die Schutzgutdebatte“. 

868 Siehe D.1.1.b). 

869 So BVerfGE 65, 1 (43): „Das Grundrecht gewährleistet insoweit die Befugnis des Einzelnen, 
grundsätzlich selbst über die Preisgabe und Verwendung seiner persönlichen Daten zu bestim- 


men. 
870 BVerfGE 65, 1 (43). 
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zurückzuführen ist.°”! Demgemäß ist das Schutzgut des Grundrechts auf informa- 
tionelle Selbstbestimmung ebenso facettenreich, findet seinen Kulminationspunkt 
allerdings in der Selbstbestimmung als Handlungsfähigkeit und Mitwirkungsfähig- 
keit des Individuums als Teil des freiheitlich-demokratischen Gemeinwesens.®’? 


Diese ist wiederum als informationelle Privatautonomie zu verstehen. 


Letztendlich ist das Konstrukt des Dateneigentums, das vornehmlich durch die 
Politik und rechtswissenschaftliche Literatur geprägt wurde, in die aufgezeigte 
Dualität einzuordnen. Hält man die Datenschutz-Grundverordnung in ihrer ak- 
tuellen Form für den Ursprung der Debatte, könnte zumindest Erwägungsgrund 
7 S. 2 DSGVO dafür sprechen: „Natürliche Personen sollen die Kontrolle über 
ihre eigenen Daten besitzen.“ Das Begriffspaar „Kontrolle besitzen“ kann zu 
dem Trugschluss führen, dass das Datenschutzrecht oder die Grundverordnung 
ein eigentumsgleiches Verhältnis von Daten bezwecken bzw. forcieren wollten. 
Dieses Begriffspaar fand jedoch schon vorher seine Verwendung, wenngleich die 
Regelung noch nicht in Kraft war, und stellt wohl den eigentlichen Ursprung 
der Diskussion dar: Am 28.3.2017 eröffnete der damalige Bundesverkehrsminis- 
ter Alexander Dobrindt mit einem sog. Datengesetz, Daten dem Sacheigentum 
gleichzustellen und eine entsprechende Eigentumsordnung einzuführen. Ebenso 
soll ein Zuordnungssystem des Eigentums konzipiert werden.®”? Dies ist allerdings 
aus den zuvor ausführlich dargestellten Gründen kaum möglich.®’* Ungehindert 
dessen statuiert der Grundriss des erhofften Gesetzes im Gleichklang mit dem 
Titel des Entwurfes „Strategiepapier Digitale Souveränität“: „Der Schlüssel dazu 
ist die Datensouveränität des Einzelnen.“ Im Fokus des Entwurfes steht folglich 
die Souveränität des Individuums bezüglich Informationen, welche mangels Tren- 
nung sowohl personenbezogene wie nicht-personenbezogene Daten einbezieht. 


871 Ambrock in: Jandt/Steidle, Datenschutz im Internet, A.II., Rn. 17 aE; Herbst in: Kühlin- 
g/Buchner, DSGVO, Art. 5, Rn. 18; Roßnagel in: Simitis/Hornung/Spiecker gen. Döh- 
mann, DSGVO/BDSG, Art. 5, Rn. 49 f. 

872 So BVerfGE 65, 1 (43). Im Ergebnis zur Schutzgut-Debatte des Datenschutzrechts so auch 
Bock, Schutzgut des Datenschutzrechts (Teil I) sowie Bock, Schutzgut des Datenschutzrechts 
(Teil ID. 

873 Siehe https://www.bmvi.de/SharedDocs/DE/Artikel/’DG/datengesetz.html. 

874 Siehe D.I.1.d)aa)(2). 
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Begreift man diesen Entwurf sowie die politische Aussage als Grundstein der na- 
tionalen Diskussion um das Dateneigentum, muss die Datensouveränität als Kern 
der Idee gesehen werden. Datensouveränität bzw. digitale Souveränität meint — 
ganz im Lichte der informationellen Selbstbestimmung — die Kenntnis und ei- 
genverantwortliche Verfügung über den Verbleib und die Nutzung von Daten.®” 
Sie entspricht einem persönlichen Verfügungs-°’® und Abwehrrecht?’’, synonym 
der aufgezeigten informationellen Privatautonomie®”®. Diese kann sich unter an- 
derem in Einwilligungen äußern, allerdings auch in der Information des Inhabers 
bzw. Datensubjekts. Damit weist die Idee deutliche Bezüge zur Volkszählungs- 
Rechtsprechung des Bundesverfassungsgerichts auf — mit den Worten des Gerichts 
ausgedrückt: „Im Mittelpunkt [...] stehen Wert und Würde der Person, die in freier 
Selbstbestimmung als Glied einer freien Gesellschaft wirkt.“®’° Folglich besteht 
schon in der Grundlage der Diskussion eine erkennbare Tendenz in Richtung der 
informationellen Privatautonomie, obschon der Begriff ursprünglich als Platzhal- 


ter für rechtspolitische Forderungen verwendet wurde®®". 


Diesem Ergebnis lässt sich nun entgegenhalten, dass der aktuelle Stand der Technik 
Anonymisierungsmöglichkeiten bietet und zumindest an für Statistiken und Heu- 
ristiken aufbereiteten Daten ein Eigentumsrecht im Sinne einer Wertschöpfungs- 
und Beteiligungsmöglichkeit bestehen sollte. Kern der informationellen Selbst- 
bestimmung sind schließlich nur personenbezogene Daten. Diese Argumentation 
wurde nach erstmaligem Aufkommen der Debatte greifbar von Andrea Nahles 
in Form eines Daten-für-Alle-Gesetzes vorgeschlagen, mit Fokus auf eine Daten- 
teilungspflicht für als Quasi-Monopol anzusehende Akteure.®®! Wohingegen sich 


875 Zum Begriff siehe Krüger, ZRP 2016, 190 (190 f); Seidel, ZG 2014, 153 (155 f); Beise, RDi 
2021, 597 (598); mit technischer Prägung auch Broadnax et al., DuD 2018, 74 (76 f). Inhaltlich 
kongruent, aber als Datenhoheit definierend Martini et al., MMR-Beil 2021, 3 (3, 16 ff). Dagegen 
ausschließlich institutionell verstehend Karl/Hummert, DuD 2021, 223 (224). 

876 So Stern, StaatsR IV/1, S. 204. Vgl. auch Kühling/Raab in: Kühling/Buchner, DSGVO, Ein- 
führung, Rn. 26. 

877 Faust, Ausschließlichkeitsrecht an Daten?, S. 85 (88). 

878 Im Ergebnis so auch Beise, RDi 2021, 597 (598). 

879 BVerfGE 65, 1 (41). 

880 So Richter/Hilty, Die Hydra des Dateneigentums — eine methodische Betrachtung, S. 241 (251). 

881 Siehe Nahles, Digitaler Fortschritt durch ein Daten-für-Alle-Gesetz, S. 2 ff. 
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Louven®®* berechtigterweise kritisch zu kartellrechtlichen Aspekten äußert, blieb 
die datenschutzrechtliche Rezeption aus®®°. Dies ist jedoch nicht zu verstehen als 
verfassungs- und datenschutzrechtliche Konformität der Absicht einer weiteren 
Variation des Dateneigentums. Ein vermögenswertes Recht an anonymisierten 
und nicht-personenbezogenen Daten oder ein freier Verkehr letzterer®°* kann nur 
hinsichtlich des letzteren Falles unproblematisch für das Datenschutzrecht sein, 
da diese Daten in Form bloßer Maschinendaten (tendenziell) keinen Personenbe- 
zug aufweisen. Sobald die Datenverarbeitung der Maschine bzw. des Geräts auf 
einer menschlichen Interaktion basiert, besteht zumindest die Möglichkeit einer 
Personenbeziehbarkeit durch Mustererkennung unter mehreren Benutzern, unter 
Umständen auch weitere Schlüsse wie Vorlieben, Tag-Nacht-Rhytmus, etc.°®5 
Beispielsweise lässt sich dies aus Smart Metern bzw. deren Maschinendaten 
und dem Verlauf der Stromnutzung anhand der Tageszeit ablesen. Bei Zusam- 
menführung verschiedener Datensätze ergeben sich mithin Lebenssachverhalte, 
die dem Schutz des Grundrechts auf informationelle Selbstbestimmung unter- 
liegen.®° Auch wenn die Daten nach dem Diskussionspapier anonymisiert sein 
mögen, entspricht dies nur einer Risikominimierung.®?’ Folglich gilt das zu an- 
onymen und anonymisierten digitalen Identitäten ausgeführte hinsichtlich einer 
datenschutz- und grundrechtskonformen Verarbeitung im Lichte des Erforderlich- 
keitsprinzips.®®® Insgesamt ist der Ansatz des Diskussionspapiers im Kern konkre- 
ter, doch setzt er ebenfalls an den falschen Punkten an und übersieht das Potential 
der Personenbeziehbarkeit, das durch die geforderte Datenteilungspflicht noch 
erhöht werden könnte®®°. Das zumindest teilweise Einbeziehen datenschutzrecht- 
licher Aspekte kann jedoch als Fortschritt gewertet werden, wobei die mangelnde 


882 Siehe Beitrag auf Telemedicus vom 13.02.2019 unter http://tImd.in/a/3392. 

883 Einzig Geminn, ZD-aktuell, 06492. 

884 So Nahles, Digitaler Fortschritt durch ein Daten-für-Alle-Gesetz, S. 4. 

885 Buchmann, DuD 2015, 510 (510 f). 

886 Buchmann, DuD 2015, 510 (511); Braun, ZD 2018, 71 ff. 

887 Vgl. Hammer in: Jandt/Steidle, Datenschutz im Internet, B. IV., Rn. 293; Datenschutzkonferenz 
des Bundes und der Länder, Das Standard-Datenschutzmodell (Version 2.0b), S. 16. 

888 Siehe D.1.1.b)(2). 

889  Derart Geminn, ZD-aktuell, 06492. 
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technische Auseinandersetzung den notwendigen State of the Art zum wirksamen 
Grundrechtsschutz vermissen lässt. 


Somit bleibt nur die Möglichkeit des Gesetzgebers, ein vermögenswertes Recht 
an maschinengenerierten Daten ohne eine menschliche Einwirkung einzurich- 
ten. Dies erfordert jedoch aufgrund möglicher Kollisionen mit dem Grundrecht 
auf informationelle Selbstbestimmung, dass geeignete Sicherungsmaßnahmen von 
den Herstellern zur getrennten Verarbeitung und Speicherung personenbezogener 
wie nicht-personenbeziehbarer Maschinendaten vorgesehen werden. Dementspre- 
chend ist die Forderung nach nationalen wie internationalen Standards für daten- 
verarbeitende Systeme ebenso wie eine klarstellende Regelung zu anonymen wie 
anonymisierten Daten zu wiederholen.®’® Hinsichtlich der finalen Einordnung 
in die informationelle oder vermögensrechtliche Privatautonomie bleibt an der 
eigentlichen Idee des Dateneigentums in Form eines Ansatzes der Datensouverä- 
nität festzuhalten, der mit dem Grundrecht auf informationelle Selbstbestimmung 
bereits in Art. 2 Abs. 1 iVm 1 Abs. 1 GG verfassungsrechtlich verankert ist. Rein 
vermögensrechtliche Aspekte wie Konditionen zur Vertragsgestaltung über per- 
sonenbezogene Daten, die wie erwähnt mit Blick auf Art. 6 Abs. 1 lit. b DSGVO 
nicht verschlossen erscheint, kann und sollte der Gesetzgeber zum Schutz perso- 


nenbezogener Daten in diesen besonderen Konstellationen ganzheitlich regeln.®?' 


Insofern besteht eine dienende Funktion des Datenschutzrechts®?? 


, die sich am 
gesamtgesellschaftlichen Interesse an Datenschutz sowie -integrität ausrichtet und 
im verfassungsrechtlichen Rahmen zu gewährleisten ist.°”® Dafür spricht vor al- 
lem die fehlende Anwendbarkeit des sog. Koppelungsverbots gem. Art. 7 Abs. 4 


DSGVO für zweiseitige Geschäfte, da die Verankerung in Art. 7 DSGVO lediglich 


890 Siehe hierzu bereits unter D.I.1.b)(2). 

891 Vgl. Richter/Hilty, Die Hydra des Dateneigentums — eine methodische Betrachtung, S. 241 
(259). 

892 Buchner, DuD 2010, 39 (43). 

893 Die Begrifflichkeit der „dienenden Funktion“ stammt aus der Materie des Rundfunkrechts und 
geht auf BVerfGE 57, 295 (319 f) zurück. Nach Rechtsprechung bedarf es dazu eines objektiven 
Prinzips der Gesamtrechtsordnung (hier: informationelle Selbstbestimmung bzw. Privatauto- 
nomie), welcher subjektive Elemente zugleich bedingt und durch sie gestützt wird. Letzteres ist 
durch die einfachgesetzlich ausgestalteten Rechte sowie Verpflichtungen der Verantwortlichen 
gegeben. 
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zur Anwendung für die Einwilligung führt.” 


Die vermögensrechtliche Privatau- 
tonomie wird allerdings durch die informationelle Privatautonomie tangiert bzw. 
ist sie in diese einzubetten. Jede vermögenswerte Datenverarbeitung als Folge der 
informationellen Privatautonomie - beispielsweise mittels Einwilligung?” —, die 
zu Lasten des Datenschutzes und zu einem erhöhten Risiko führt, ist durch den 
Gesetzgeber zu regeln und etwaigen Gefahren vorzubeugen. Bei dieser Ausge- 
staltung sind daher mögliche Kollisionen mit kollidierendem Verfassungsrecht zu 
vermeiden. Beispielsweise ist die Informationsfreiheit gem. Art. 5 Abs. 1 S. 1 
Alt. 2 GG®% und die multilaterale Sicht auf personenbezogene Daten zu berück- 
sichtigen. Letztere tritt bei Verflechtungen personenbezogener Daten auf, die bei 
einem ausschließlich wirkenden Dateneigentum unlösbar werden.®” 


898 wirde dann 


Der aus Sicht des Datenschutzes beabsichtigte freie Datenverkehr 
eher gehindert als der Datenschutz gefördert. Insgesamt verbietet sich eine Eigen- 
tumsordnung für personenbezogene Daten folglich schon unter Berücksichtigung 


verfassungsrechtlicher Wurzeln bzw. Schutzgüter.®” 


894 Hierzu Engeler, ZD 2018, 55 (56, 58 f) sowie Faust, Ausschließlichkeitsrecht an Daten?, S. 85 
(89 f). Zur Einwilligung in die vermögensrechtliche Nutzung von Daten siehe ferner Kühling/ 
Sackmann, vzbv-Gutachten, S. 25 ff. 

895 Für die weitere Regulierung und Fokussierung auf dieses Mittel der Selbstbestimmung Kühling/ 
Sackmann, ZD 2020, 24 (29/30). 

896 Hierzu Specht, CR 2016, 288 (294). 

897 So Determann, ZD 2018, 503 (508). 

898 Vgl. Art. 1 Abs. 1 sowie ErwGr 6 S. 5 DSGVO. 

899 Dagegen ein Eigentumsrecht an Daten nach Art. 14 Abs. 1 GG mit positiver Einordnung in 
dessen Schutzgut einzig Stranz, Eigentumsrecht an personenbezogenen Daten, S. 55 f, 163 f; 
Fezer, Repräsentatives Dateneigentum, S. 61 f parallel zur. Ähnlich auch Wiebe/Schur, ZUM 
2017, 461 (465), wobei dies als Leistungsschutzrecht ausgestaltet werden soll. Boehm, ZEuP 
2016, 358 (386) weist dagegen — zutreffend — auf die notwendige gesetzliche Ausgestaltung 
hinsichtlich Inhalt und Reichweite hin, sofern man an diesem Ansatz festhielte; „Ein Imma- 
terialgüterrecht sui generis für Daten ist nur denkbar, wenn die gesetzliche Normierung in 
diesem Bereich nicht abschließend ist.“ Erst dann könne sich eine rechtssichere bilaterale bzw. 
vertragliche Konstruktion etablieren — so iE auch Kraul, GRUR-Prax 2019, 478 (479 f). 
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(4) Ergebnis Die Eigentumsgarantie des Art. 14 Abs. 1 S. 1 Alt. 1 GG ist 
demgemäß in vielerlei Hinsicht ungeeignet und nicht auf die Idee des Dateneigen- 
tums anwendbar.” Dies ergibt sich sowohl aus der mangelnden Eröffnung des 
Schutzbereiches als auch bei vertiefter Betrachtung des Schutzguts. Um die aufge- 
zeigte Nähe zum Grundrecht auf informationelle Selbstbestimmung aufzulösen, 
müsste man personenbezogene bzw. persönliche Daten als verselbstständiges, von 
der Person abgelöstes Gut betrachten können.” Dies ist allerdings aus prakti- 
schen wie technischen Erwägungen nicht möglich. Vielmehr empfiehlt es sich, 
von der Terminologie Abstand zu nehmen”? und zum eigentlichen Schutzgut 
— der bereits erläuterten informationellen Selbstbestimmung — und dem Ansatz 
der Datensouveränität überzugehen. In der Folge findet sich die digitale Identität 
ebensowenig vom Schutz des Art. 14 Abs. 1 S. 1 Alt. 1 GG umfasst. 


bb) Der digitale Nachlass Im Folgenden bleibt neben dem Eigentum eine 
weitere Garantie des Art. 14 Abs. 1 GG zu betrachten, die vor dem Hintergrund 
des Dateneigentums ebenso von Bedeutung ist. Artikel 14 Abs. 1 S. 1 Alt. 2 GG 
garantiert das Erbrecht, das, wie schon die Eigentumsgarantie, der Prärogative 
des Gesetzgebers zur Ausgestaltung von Inhalt und Schranken des Erbrechts iSd 
Art. 14 Abs. 1 S. 2 GG°® unterliegt. Dementsprechend offen ist die Definition des 
Schutzgehalts, insbesondere des Schutzgegenstands. Seinem Gehalt nach umfasst 
die verfassungsrechtliche Erbrechtsgarantie subjektive Abwehrrechte ebenso wie 


900 Den Ansatz des Dateneigentums ebenso ablehnend Ernst, Weg zum Digitalen Staat, 33 ff; 
Dorner, CR 2014, 617 ff; Peschel/Rockstroh, MMR 2014, 571 ff; Heun/Assion, CR 2015, 812 
ff, Boehm, ZEuP 2016, 358 (384 ff); Grützmacher, CR 2016, 485 ff, Härting, CR 2016, 646 
ff, Specht/Rohmer, PinG 2016, 127 ff, Heymann, CR 2016, 650 ff; Berberich/Golla, PinG 
2016, 165 ff; Schwartmann/Hentsch, PinG 2016, 117 ff; Kim, GRUR Int. 2017, 697 ff; Stein- 
rötter, MMR 2017, 731 ff; Determann, ZD 2018, 503 ff; Schulz, PinG 2018, 72 ff; Raue, NIW 
2019, 2425 (2425); Kühling/Sackmann, ZD 2020, 24 (26 ff). Vgl. mit insolvenzrechtlichem 
Bezug Hoffmann, JZ 2019, 960 (965, 966 f). 

901 Vgl. Zech, Information als Schutzgegenstand, S. 218 f. 

902 So auch Hoffmann, JZ 2019, 960 (965, Fn. 75). 

903 Hierzu Leisner in: Isensee/Kirchhof, HStR VIII, $ 174, Rn. 14; Wendt in: Sachs, GG, Art. 14, 
Rn. 199a f. 
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die Institutsgarantie als objektive Komponente des Grundrechts.?°* Sie beziehen 
sich jedoch nicht auf einen eigenen Schutzgegenstand, sondern knüpfen als beson- 
dere Form der Privatautonomie an der Eigentumsgarantie des Art. 14 Abs. 1 GG 
an.’® Hauptzweck des Erbrechts ist mithin, bereits zu Lebzeiten über den Verbleib 
des Erworbenen bestimmen und so auch prämortal auf den eigentlich postmor- 
talen Sachverhalt einwirken zu können.” Insofern strahlt die Privatautonomie 
über den Tod hinaus. Mit dem Ableben erlischt die Rechtspersönlichkeit und die 
Verfügungsposition geht auf den Erben über, kann allerdings durch prämortale 
Handlungen wie ein Testament durch den Willen des Erblassers beeinflusst wer- 


907 ebenso 


den. Das Verfassungsrecht gibt den Regelungsgegenstand so nicht vor 
wie sich das Bundesverfassungsgericht”®® oder die rechtswissenschaftliche Litera- 
tur einer Erläuterung entbehrt. Dies mag daran liegen, dass die Norm des Art. 14 
Abs. 1 S. 2 GG diese Aufgabe dem Gesetzgeber überlässt, also mit Rücksicht 
auf die besagte Prärogative keine Notwendigkeit besteht. Dann würde aber die 
höchstrichterliche Erläuterung zum Eigentumsbegriff””” gleichermaßen obsolet. 
Vielmehr spricht für die mangelnde Notwendigkeit, dass Eigentums- und Erb- 
rechtsgarantie einheitlich zu betrachten sind. So sagt nicht nur die Konjunktion 
im Wortlaut des Art. 14 Abs. 1 S. 1 GG - „Eigentum und Erbrecht werden ge- 
währleistet“ — etwas über die inhaltliche Verknüpfung aus.?!? Weiter wirkt die 
gemeinsame Positionierung in Art. 14 Abs. 1 1 GG sowie die Geltung des S. 2 
für beide Gehalte des S. 1 als Indiz.?!! Es erscheint daher nicht verwerflich, 


die Vererblichkeit vermögenswerter Rechte iSd eigentumsrechtlichen Definition 


904  Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 516 
f, 518 f. 

905 Zsensee in: Isensee/Kirchhof, HStR VII, $ 150, Rn. 65. 

906 Wendt in: Sachs, GG, Art. 14, Rn. 193; Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG- 
Kommentar, Band I, Art. 14, Rn. 513 f; Stern, StaatsR IV/1, S. 2320, 2324 f. 

907 So auch BVerwGE 35, 278 (287). 

908 Siehe nur BVerfGE 19, 202 (206), in der das BVerfG lediglich Ansprüche aus der Rentenversi- 
cherung als beschränkbaren Gegenstand des Erbrechts anerkennt. Darin zeigt sich die Parallele 
zum vermögenswerten Recht des Art. 14 Abs. 1 S. 1 Alt. 1 GG. 

909 Siehe hierzu D.I.1.d)aa)(1) mwN. 

910 Vgl. BVerfGE 93, 165 (174). 

911 Leisner in: Isensee/Kirchhof, HStR VIII, $ 174, Rn. 1 ff; Stern, StaatsR IV/1, S. 2320. 
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des Bundesverfassungsgerichts als Schutzgegenstand der Erbrechtsgarantie des 
Art. 14 Abs. 1 S. 1 Alt. 2 GG anzunehmen.?'!? 


Der so rein durch das Verfassungsrecht hergeleitete Schutzgegenstand ist aller- 
dings durch die Wirkung des Art. 14 Abs. 1 S. 2 GG zu erweitern, sodass 
auch hier die einfachgesetzlichen Regelungen und die Ausgestaltung des Erb- 
rechts einzubeziehen sind. Dementsprechend bleibt mit Blick auf $ 1922 Abs. 1 
BGB das Vermögen bzw. jedes vermögenswerte Recht vom Schutz der Erbrechts- 
garantie umfasst. Im Gegensatz dazu deuten $ 2047 Abs. 2 und $ 2373 S. 2 
BGB an, dass auch nicht-vermögenswerte Gegenstände wie persönliche Briefe 
oder Familienbilder Teil der Erbmasse sind.?!? Diese Lesart wird ferner durch 
die Rechtsprechung des Bundesgerichtshofes bestätigt.”'* Der Schutzgegenstand 
des Erbrechts erstreckt sich so grundsätzlich sowohl auf vermögenswerte als auch 
nicht-vermögenswerte Rechte oder Gegenstände und reicht damit weiter als der 
Eigentumsbegriff des Art. 14 Abs. 1S. 1 Alt. 1 GG. Dies scheint zunächst wider- 
sprüchlich, betrachtet man die Verknüpfung von Eigentums- und Erbgarantie. Die 
Erweiterung des Erbrechts fußt allerdings nicht auf der bloß vermögensrechtlichen 
Privatautonomie, sondern fängt als Ausdruck der Selbstbestimmung?'5 auch die 
informationelle Privatautonomie auf und ermöglicht auch in dieser Hinsicht das 
Erben von vertraulichen Briefen und Tagebüchern. 


Die eben dargestellte Differenzierung zwischen vermögenswerten und nicht-ver- 
mögenswerten Gütern als Teil des verfassungsrechtlichen Erbrechts mag daher 
zunächst trivial oder gar obsolet erscheinen; die Erbrechtsgarantie ist wie darge- 
stellt umfassend. Vor dem Hintergrund der digitalen Identität und dessen Einord- 
nung in das Erbrecht des Art. 14 Abs. 1 S. 1 Alt. 2 GG entspinnt sich jedoch 
ein bis zuletzt umstrittenes Problemfeld, wie bereits unter B.Il.2.a) angedeutet 
wurde. So ist fraglich, ob und wie die digitale Identität aufseiten des Erblassers 


912 So auch Leisner in: Isensee/Kirchhof, HStR VII, $ 174, Rn. 4, 14. 

913 Vgl. Lohmann in: Hau/Poseck, BeckOK BGB, $ 2047, Rn. 3. 

914 BGH, Urteil vom 12.7.2018, Az. IN ZR 183/17, Rn. 49. 

915 BVerfGE 99, 341 (351); Stern, StaatsR IV/1, S. 2325; Papier/Shirvani in: Maunz/Dürig, GG- 
Kommentar, Art. 14, Rn. 412; Leisner in: Isensee/Kirchhof, HStR VII, $ 174, Rn. 18; Isen- 
see in: Isensee/Kirchhof, HStR VII, $ 150, Rn. 65. 
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verfassungsrechtlich geschützt ist, er also auch hierüber als Inhaber prämortal 
verfügen kann. Die Frage nach dem Umgang und Verbleib dieser als Teil der di- 
gitalen Erbmasse wird in der Rechtswissenschaft unter dem Begriff des digitalen 
Nachlasses diskutiert. Diese Bezeichnung ist bislang nicht durch den Gesetzgeber 
oder die Rechtsprechung”'® definiert worden, sondern lediglich durch die rechts- 
wissenschaftliche Literatur geprägt. Initiatorisch wirkte dabei die Stellungnahme 
des Deutschen Anwaltvereins zur Thematik, welcher mit dem Begriff des digita- 
len Nachlasses die „Gesamtheit des digitalen Vermögens“ bzw. vermögenswerter 
Rechte beschreibt und „auch die Gesamtheit aller Accounts und Daten des Erblas- 
sers im Internet“ erfasst.?'7 Er sei aufgrund seines bloß deskriptiven Charakters 
weit zu verstehen.?'® Durch seine Endlosigkeit werden allerdings personenbezieh- 
bare Datensätze mitrein maschinellen Datensätzen vermengt, wenn unter anderem 
auch lokale Datensätze des Smart Home einbezogen werden?!” . Die Suchformel??® 
trägt also zum Entstehen der rechtlichen Grauzone, einer Melange aus vermögens- 
werten und nicht-vermögenswerten bzw. persönlichkeitsrechtlichen Rechten und 
Rechtsgütern, bei. Selbige findet sich prima facie in der Definition des verfas- 
sungsrechtlichen Erbrechts wieder, was für eine Lösbarkeit des Problems der 
Vererblichkeit digitaler Güter sprechen mag. Allerdings wird die prämortale Dis- 
ponibilität über höchstpersönliche, nicht-vermögenswerte Nachlassgegenstände 
seit dem Mephisto-Urteil des Bundesgerichtshofes stets infrage gestellt: Nicht- 
vermögenswerte Rechte und Güter, welche höchstpersönlichen Bezug oder Inhalt 
haben, sind unauflöslich an die Person gebunden und daher unverzichtbar und 


916 Auch das Urteil des BGH vom 12.7.2018, Az. I ZR 183/17 zum Übergang eines Facebook- 
Nutzerkontos bei Tod des Kontoinhabers greift den Begriff lediglich im Rahmen der Unvererb- 
lichkeit durch den Verweis auf die rechtswissenschaftliche Literatur auf, siehe Rn. 47 ff. 

917 Deutscher Anwaltverein, Stellungnahme zum Digitalen Nachlass, Glossar: Digitaler Nachlass. 
Abweichend und konkreter Deusch, ZEV 2014, 2 (2 f) sowie Uhrenbacher, Digitales Testament 
und digitaler Nachlass, S. 160 f. 

918 So Lange/Holtwiesche, ZErb 2016, 125 (125); Klas/Möhrke-Sobolewski, NIW 2015, 3473 
(3473), Alexander, K&R 2016, 301 (302); Ludyga, ZEV 2018, 1 (1 f), Herzog, NJW 2013, 
3745 (3745). 

919 Diese hinzuzählend Alexander, K&R 2016, 301 (302). 

920 Sorge, MMR 2018, 372 (373). 
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unveräußerlich.?! Abspaltbare, generell der Öffentlichkeit bekannte Bestandtei- 
le der Persönlichkeit wie der Name oder die äußerliche Gestalt können dagegen 
kommerziell verwertet werden.??? Bestehen beispielsweise Markenrechte als ver- 
mögenswerte Rechte an den Bestandteilen, so wären diese auch übertragbar. 


In der verfassungsrechtlichen Parallelwertung lässt sich erkennen, dass die Erb- 
garantie in der Position des Erben keinen personellen Ersatz für den Erblasser 
sieht. Vielmehr tritt der Erbe lediglich zur Erfüllung und Auflösung der zurück- 
bleibenden Rechtsgeschäfte ein; bestimmte, genuine Rechte nimmt der Erblasser 
„mit ins Grab“.??3 Zu differenzieren wäre damit anhand der Disponibilität des 
Grundrechts. Disponible Grundrechte unterliegen prinzipiell der Vererblichkeit 
kraft Testament — vorausgesetzt, die disponible (Grund-)Rechtsposition ist nicht 
Teil eines überindividuellen Guts bzw. eines funktionierenden demokratischen 
Prozesses oder dient der Integration des Gemeinwesens”?*. Ebenso indisponibel 
ist die Menschenwürde des Art. 1 Abs. 1 GG.?”° Demgemäß kann der Erbe den 
Achtungsanspruch und Ehrschutz des Erblassers nur verteidigen, aber nicht wie 
eine eigene Verletzung geltend machen; er ist keine erbbare Rechtsposition.??6 
Bezieht man dies wiederum auf den digitalen Nachlass, so bedarf es auch an 
dieser Stelle einer Prüfung der Erbmasse auf disponible, vermögenswerte An- 
teile oder nicht disponible, höchstpersönliche Güter, welche von der Erbmasse 
auszuschließen wären. 


927 und 


Für diese Prüfung haben sich mit Aufkommen der Thematik Hoeren 
Martini?” ausgesprochen. Beide begründen dies mit der durch das Grundrecht 


auf informationelle Selbstbestimmung entstehenden Vor- bzw. Reflexwirkung, 


921 BGHZ 50, 133 (137). Hieran anschließend BGH GRUR 2000, 709 (712 ff) — Marlene Dietrich 
— sowie vgl. BGH NJW 2007, 684 (Rn. 10 ff) — kinski-klaus.de. 

922 BGH GRUR 2000, 709 (713). 

923 So beispielsweise für das Namensrecht — siehe BGH NJW 2007, 684 (Rn. 8). 

924 Robbers, JuS 1985, 925 (927 f). 

925 Vgl. BVerfGE 88, 203 (252); Berhge, Die verfassungsrechtliche Zulässigkeit des Grundrechts- 
verzichts, S. 38 ff; Bleckmann, JZ 1988, 57 (58). 

926 Vgl. BGHZ 50, 133 (137). 

927 Hoeren, NIW 2005, 2113 (2114). 

928 Martini, JZ 2012, 1145 (1152). 
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zu Lebzeiten über den Verbleib der Daten verfügen zu können.”?” Zum Schutz 
des Grundrechtsträgers, insbesondere seines Vertrauens in die Datenverarbeitung, 
muss vor der Erbschaft treuhänderisch der Inhalt des Kontos geprüft werden. 
Nur auf diese Weise kann der postmortale Persönlichkeitsschutz gewahrt wer- 


“930 yon Nutzerkonten durch 


den. Der dabei entstandene Terminus der „Infektion 
höchstpersönliche Inhalte und der Trennungsansatz an sich wurden jedoch über- 
wiegend von der Literatur”! und letztlich auch durch den Bundesgerichtshof”? 
abgelehnt. So führt das Gericht gegen diese Differenzierung die erwähnte Sicht 
des Gesetzgebers in $ 2047 Abs. 2 und $ 2373 S. 2 BGB an, welche expressis 
verbis nicht-vermögenswerte Güter einbezieht.” Zudem sind digitale wie analo- 
ge Inhalte nach dem BGB Teil der Erbmasse; auf das Trägermedium kommt es 
nicht an.” Würde der die Infektion befürwortenden Ansicht dessen ungeachtet 
gefolgt werden, ergeben sich kaum zu bewältigende praktische Probleme an der 
Umsetzung der Überprüfung der Daten, sei es aufgrund der kaum möglichen 
Einschätzung der Höchstpersönlichkeit oder der personellen Befugnis hierzu.” 
Dieser, nunmehr durch den Bundesgerichtshof geprägten Ansicht, ist zumindest 
hinsichtlich der Umsetzbarkeit der Prüfung zu folgen. Auch scheint es unmög- 
lich, die Erkennung der Infektion auf den jeweiligen Diensteanbieter, welcher den 
Account bzw. die digitale Identität des Verstorbenen aufbewahrt, abzuwälzen.”° 


Es erscheint mithin fraglich, ob bzw. wie diese diffizile Einschätzung durch eine 


929 Anders Sorge, MMR 2018, 372 (376), welcher die Reflexwirkung zum Erhalt der Datensou- 
veränität kraft Erbe aufseiten des Erblassers sieht und besagten Reflex aus dem Übergang 
vermögensrechtlicher Rechtsstellungen schließt. Diese Wenn-Dann-Kopplung vermischt aller- 
dings datenschutzrechtliche bzw. informationelle und vermögens- bzw. eigentumsrechtliche 
Schutzrichtungen, sodass auch diesbezüglich die obige Schutzgut-Diskussion aufgegriffen wer- 
den könnte. 

930 So Deutscher Anwaltverein, Stellungnahme zum Digitalen Nachlass, S. 24 f. Hierzu auch 
Kutscher, Der digitale Nachlass, S. 105 f. 

931 Siehe nur Uhrenbacher, Digitales Testament und digitaler Nachlass, S. 157 ff; Kutscher, Der 
digitale Nachlass, S. 113 f; Leeb, K&R 2014, 693 (695 f); Steiner/Holzer, ZEV 2015, 262 (262 
f); Alexander, K&R 2016, 301 (304 f); Gomille, ZUM 2018, 660 (664); Seidler, NZFam 2020, 
141 (143) - mwN auch BGH MMR 2018, 740 (Rn. 48). 

932 BGH MMR 2018, 740 (Rn. 47 ff). 

933 Herzog, NIW 2013, 3745 (3748). 

934 BGH MMR 2018, 740 (Rn. 50). 

935 BGH MMR 2018, 740 (Rn. 51). 

936 Alexander, K&R 2016, 301 (305). 
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letztwillige Verfügung gelöst werden könnte. Dieser Ansatz wird in der Litera- 
tur häufiger genannt, jedoch kaum mit praktischen Erwägungen oder Hinweisen 
zur Umsetzung bedacht.” Die Löschung qua Testament erscheint nur schwer 
durchsetzbar, wenn ein Notar oder eine andere Vertrauensperson als Testaments- 
vollstrecker iSd $ 2197 BGB unter Nutzung der Zugangsdaten des Erblassers 
alle digitalen Identitäten eigenhändig löscht””®. So geht die Weitergabe der Zu- 
gangsdaten an Dritte je nach AGB mit einer Vertragsverletzung aufseiten des 
Nutzers einher.” Dabei nützt es nichts, die Zugangsdaten der digitalen Identität 
iSv personalisierten Zugriffsschranken gegen Übergriffe durch Dritte mit einem 
„elektronischen Schlüssel“ gleichzusetzen.’ Selbige Problematik entsteht, wenn 
sich eines „digitalen Bevollmächtigten’! bedient wird. Auf diese Weise wird die 
vom Bundesgerichtshof und der Literatur angeführte Problematik bloß personell 
verschoben. Bislang nicht diskutiert wurde eine Ernennung des Diensteanbieters 
der zu löschenden digitalen Identität zum Testamentsvollstrecker gem. $ 2197 
Abs. 1 BGB. Schließlich können auch juristische Personen als Testamentsvoll- 
strecker fungieren?* und ein Nebeneinander mehrerer Vollstreckungsbefugter ist 
qua $ 2197 Abs. 1 BGB nicht ausgeschlossen. Das Amt des Testamentsvollstre- 
ckers kann jedoch gem. $ 2202 Abs. 2 S. 1 BGB abgelehnt werden, was an der 
Durchsetzbarkeit einer Löschung zweifeln lässt. Zudem würde die Schar an Tes- 
tamentsvollstreckern mit Blick auf die alltägliche Nutzung digitaler Identitäten 
den eigentlichen Zweck der Norm ausdünnen. Der Testamentsvollstrecker dient 
der „fremdnützigen, unparteiischen und sachkundigen Willensvollstreckung“?* 
und setzt den mutmaßlichen und/oder ausdrücklichen Willen des Erblassers nach 


937  SoBrisch/Müller-ter Jung, CR 2013, 446 (448); Willems, ZEPW 2016, 494 (510 f). Ähnlich auch 
Herzog, NIW 2013, 3745 (3750). Einzig mit Empfehlungen für die Praxis Steiner/Holzer, ZEV 
2015, 262 (265 ff). 

938 Vgl. Brinkert/Stolze/Heidrich, ZD 2013, 153 (156); Martini, JZ 2012, 1145 (1152). 

939 Alexander, K&R 2016, 301 (307) unter Verweis auf BGHZ 180, 134 (139 f, Rn. 17 f); vgl. 
auch die Gegenüberstellung von Facebook, Yahoo! und GMX in Willems, ZEPW 2016, 494 
(496/497). 

940 So Alexander, K&R 2016, 301 (303, 305). 

941 Hierzu Steiner/Holzer, ZEV 2015, 262 (265). 

942 Lange in: Hau/Poseck, BeckOK BGB, $ 2197, Rn. 28. Vgl. auch $$ 2210 S. 3, 2163 Abs. 2 
BGB. 

943 Zimmermann in: Säcker et al., MüKo BGB, Bd. X, Vor $ 2197, Rn. 2. 
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dessen Tod um. Diese, mit entsprechendem Vertrauen aufgeladene Position dient 
daher weniger der Umsetzung datenschutzrechtlicher Defizite und mehr der Wil- 
lensmäßigkeit der Umsetzung des Testaments bei potentiellen Erbstreitigkeiten.?** 
Wenngleich die Eignung dieses Ansatzes vielmehr einer zivilrechtlichen Diskus- 
sion außerhalb dieser Untersuchung bedarf, kann zumindest von der mangelnden 
Eignung des Ansatzes zur Umsetzung der informationellen Selbstbestimmung 


über den Tod hinaus ausgegangen werden. 


Darüber hinaus ist die datenschutzrechtliche Komponente des digitalen Nach- 
lasses zu betrachten. Sowohl der Bundesgerichtshof?* als auch die Literatur?*s 
haben sich damit auseinandergesetzt, ob und wie das Datenschutzrecht, und da- 
mit auch die informationelle Selbstbestimmung des Erblassers gem. Art. 2 Abs. 1 
iVm 1 Abs. 1 GG, mit dem berechtigten Interesse des Erben iSd Art. 14 Abs. 1 
S. 1 Alt. 2 GG?” kollidiert. Zutreffend ist, dass das Datenschutzrecht nach Er- 
wägungsgrund 27 S. 1 DSGVO die Anwendung auf Verstorbene ausschließt.’ 
Ebenso schließt das Bundesverfassungsgericht die Anwendbarkeit des Allgemei- 
nen Persönlichkeitsrechts nach dem Tod aus, da es sodann an der Handlungsfä- 
higkeit mangele.”® Dennoch halten es Stimmen der überwiegenden Ansicht für 
möglich, die Löschung der Daten des Erblassers problemlos umsetzen zu kön- 
nen.” Dabei wird jedoch grundlegend übersehen, dass die dafür notwendigen 
Anspruchsgrundlagen schon nicht anwendbar sind: Grundsätzlich ergibt sich ein 


Löschungsanspruch für mit persönlichen — ergo personenbezogenen - digitalen 


944 Ähnlich kritisch Deusch, ZEV 2014, 2 (7). 

945 BGH, Urteil vom 12.7.2018, Az. IT ZR 183/17, Rn. 64 ff. 

946 Martini, JZ 2012, 1145 ff sowie Martini/Kienle, JZ 2019, 235 (237 ff); Alexander, K&R 2016, 
301 (303 ff); Gomille, ZUM 2018, 660 (664 f); Klas/Möhrke-Sobolewski, NIW 2015, 3473 
(3745 f); Sorge, MMR 2018, 372 (375). 

947 Vgl. BGH, Urteil vom 12.7.2018, Az. II ZR 183/17, Rn. 77 f, Gomille, ZUM 2018, 660 (666). 

948 So auch BGH, Urteil vom 12.7.2018, Az. IN ZR 183/17, Rn. 67. 

949 BVerfGE 30, 173 (194); Beschluss vom 25.2.1993, Az. 1 BvR 151/93 = NJW 1993, 1462 — 
Heinrich Böll; Beschluss vom 25.8.2000, Az. 1 BvR 1168/04 = NJW 2001, 594 f- Willy Brandt; 
Beschluss vom 5.4.2001, Az. 1 BvR 932/94 = NJW 2001, 2957 (2958) — Wahlkampfäußerung 
der DVU. Vgl. auch Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 31; Di 
Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2 I, Rn. 226. 

950  Steiner/Holzer, ZEV 2015, 262 (265). 
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Identitäten aus Art. 17 Abs. 1 DSGVO. Diese Anspruchsgrundlage entfällt je- 
doch aufgrund des Erwägungsgrundes 27 S. 1 DSGVO, auch wenn dieser nur 
eine Auslegungshilfe darstellt. Überdies ist das Datenschutzrecht aus Sicht des 
Erben unanwendbar, da dieser in der datenschutzrechtlichen Terminologie nicht 
Anspruchsberechtigter bzw. Betroffener iSd Art. 4 Nr. 1 DSGVO ist.?! Wenn das 
Datenschutzrecht also entfällt, ist zumindest auf zivilrechtliche Generalklauseln 
zurückzugreifen. Soweit kein Anspruch aus $ 37 Abs. 1 S. 1 KunstUrhG oder 
$ 98 Abs. 1 UrhG im Falle eines Bildes vorrangig ist, bietet sich ein Anspruch 
aus $$ 1004 Abs. 1 S. 1 analog, 823 Abs. 1 BGB iVm Art. 2 Abs. 1 iVm 1 Abs. 1 
GG an. Danach könnte die Löschung des Accounts durch einen Anspruch auf 
Untersagung der weiteren oder Beseitigung der störenden — da grundrechtsbelas- 
tenden — Datenverarbeitung erreicht werden. Wohingegen es an der sachlichen 
Einordnung des Löschungsanspruchs in Art. 2 Abs. 1 iVm 1 Abs. 1 GG nicht 
scheitern mag”, ist jedoch konsequent zum oben ausgeführten auch hier die 
personelle Anwendbarkeit des Art. 2 Abs. 1 iVm 1 Abs. 1 GG ausgeschlossen. 
Folglich kann mit dieser Argumentation höchstens vonseiten der Angehörigen 
auch abseits der Erbenstellung die Verunglimpfung des postmortalen Persön- 
lichkeitsrechts des Erblassers geltend gemacht werden. Diese greift jedoch nur 
ein, wenn die Beeinträchtigung des Achtungsanspruchs entsprechend öffentlich 
wahrnehmbar ist, die Herabwürdigung sich also in der Öffentlichkeit ergibt.”°° 
Hierüber geben allerdings weder der Bundesgerichtshof noch die Literatur Auf- 
schluss über die Durchsetzbarkeit dieser Verpflichtung, die vor dem Hintergrund 
uneinheitlicher allgemeiner Geschäftsbedingungen zu bezweifeln ist. 


In der Gesamtschau kann das Urteil des Bundesgerichtshofes zum digitalen Nach- 
lass hinsichtlich einer digitalen Identität nur mäßig überzeugen, wenn es neue 
Lebenssachverhalte unter nur unvollständig anwendbare Regelungen subsumiert. 
Zuletzt sei sich daher eines Vorschlags bemüht, um eine mögliche Richtschnur 
für den weiteren Diskurs zu bieten. 


951 Vgl. Martini/Kienle, JZ 2019, 235 (237). 
952 Hierzu bereits unter D.1.1.b)aa). 
953 Leipold in: Säcker et al., MüKo BGB, Bd. X, $ 1922, Rn. 158. Auch BGHZ 50, 133 (137). 
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Als besagte Richtschnur lassen sich die bereits dargestellten Werkzeuge hinsicht- 
lich persönlichkeitsrechtlicher Gehalte verwenden: Die Sphärentheorie sowie der 
Erforderlichkeitsgrundsatz, welche bereits im Datenschutzrecht angewendet wer- 
den und nach der hier vertretenen Ansicht des postmortalen Datenschutzes weiter- 
hin Anwendung fänden. Vor dem fließenden Übergang zwischen Öffentlichkeits-, 
Privats- und Intimsphäre sollten nicht die Inhalte im Einzelnen, sondern die 
Nutzungsweise von Teilaspekten oder des gesamten Accounts betrachtet wer- 
den. Danach bietet es sich zumindest an, die Nutzung eines sozialen Netzwerkes 
in öffentlich zugängliche Teile mit vermögensrechtlichem Hintergrund (Bilder, 


Postings, etc.)?* 


und private, nur dem Nutzer zugängliche Aspekte (Privatnach- 
richten, versteckte Angaben, etc.) einzuordnen. Im Erbfall kann dann von Seiten 
des Diensteanbieters problemlos Zugang zu öffentlich gemachten Informationen 
gewährt werden, wohingegen auf nächster Stufe die potentiell privaten Daten auf 
ein erforderliches Maß zu beschränken sind. So muss nicht zwangsläufig den 
Erben der komplette Datensatz mit Klarnamen freigegeben, sondern könnte auf 
nicht relevante Aspekte reduziert werden. Darüber hinaus werden durch dieses 
Vorgehen die Persönlichkeitsrechte Dritter berücksichtigt, die auf die Vertrau- 
lichkeit der Kommunikation hinsichtlich des Inhalts und der Empfangsperson iSd 
Art. 10 Abs. 1 GG vertraut haben. Auf diese Weise wird die Kategorisierung nicht 
vom eigentlichen Inhalt der Daten abhängig gemacht, sondern von der Typik des 
(einzelnen) Angebots. Alternativ könnte vor dem Hintergrund beider, eingangs ge- 
nannter Prämissen ein Konstrukt aus rechtlichen Einwirkungsmöglichkeiten und 
(verpflichtenden) technischen Minimalanforderungen zur Umsetzung des digita- 
len Nachlasses geschaffen werden. Beispielsweise könnte eine Anwendung zur 
Markierung der Datensätze geschaffen werden, um einer Vertrauensposition oder 
den Erben deren Verwendung und Verbleib mitzuteilen — ähnlich einem „letz- 
ten digitalen Willen“. So könnte auch die Einordnung weg vom privatrechtlichen 
Diensteanbieter und hin zum Datensubjekt und der Datensouveränität bewegt 
werden. 


954 Vgl. BGH GRUR 2000, 709 (712); auch Lange/Holtwiesche, ZErb 2016, 157 (160 f). 


207 


D. Konkrete Schutzaspekte kraft Verfassungsrecht 


Die eben dargestellten Ansätze sind allerdings ebenso streitbar wie der Zwie- 
spalt zwischen der Lösung des Bundesgerichtshofes und der weiterhin konträren 
Ansicht. So moniert Martini weiterhin die mangelnde Berücksichtigung des Da- 
tenschutzrechts in der Entscheidung des Bundesgerichtshofes.?° Insgesamt ist 
also festzuhalten, dass der digitale Nachlass sich mit Bestimmtheit in vermö- 
gensrechtlicher Hinsicht einordnen lässt. Dagegen sind persönlichkeitsrechtliche 
Belange digitaler Identitäten wie Nutzeraccounts nur uneinheitlich in die Erbga- 
rantie des Art. 14 Abs. 1 S. 1 Alt. 2 GG oder zumindest in die Reflexwirkung des 
Grundrechts auf informationelle Selbstbestimmung zu integrieren. Weiter spiegelt 
sich diese unbefriedigende Lösung in der Diversität von Allgemeinen Geschäfts- 


bedingungen der Diensteanbieter wider” 


, die sich letztendlich negativ auf die 
informationelle Selbstbestimmung des Erblassers auswirkt. Diese unklare Rechts- 
lage sollte allerdings nicht auf die Judikative abgewälzt werden. Vielmehr istes iSd 
Rechtsstaatsprinzips des Art. 20 Abs. 2, Abs. 3 GG sowie nach Wesentlichkeits- 
lehre und Untermaßverbot Aufgabe des Gesetzgebers, grundlegende Leitlinien für 
das digitale Vermächtnis zu entwerfen.”>’ Diesen Weg eröffnet schließlich Erwä- 
gungsgrund 27 S. 2 DSGVO expressis verbis. Die Umsetzung eines postmortalen 
„Recht auf Vergessenwerdens‘®® ist prima facie nicht ausgeschlossen, bedenkt 
man die einstige Regelung des $ 4 Abs. 1 S. 2 BInDSG a.F.”” und die Erweite- 
rung des Datenschutzrechts auf Verstorbene vor Umsetzung der DSGVO. Mög- 
licherweise könnte sich dann aber die bereits ausgeführte Schutzgut-Debatte?‘ 
ausweiten, sofern die Erbgarantie nicht wie hier vertreten auch informationelle 
Aspekte in sich trägt. Weiter ist trotz (vorerst) gescheiterten Verhandlungen ge- 
spannt auf die ePrivacy-VO zu blicken.’°! Zur Berücksichtigung der prämortalen 


Reflexwirkung des Grundrechts auf informationelle Selbstbestimmung kann de 


955 Siehe Martini/Kienle, JZ 2019, 235 (237 ff). 

956 Vgl. Alexander, K&R 2016, 301 (306); Seidler, NZFam 2020, 141 (144). 

957 So auch Deutscher Anwaltverein, Stellungnahme zum Digitalen Nachlass, S. 90; Deusch, ZEV 
2014, 2 (5). 

958 Dies bloß fragend Alexander, K&R 2016, 301 (307). 

959 84 Abs. 1 S. 2 BInDSG a.F.: „Entsprechendes gilt für Daten über Verstorbene, es sei denn, 
dass schutzwürdige Belange des Betroffenen nicht mehr beeinträchtigt werden können.“ 

960 Siehe hierzu D.I.1.d)aa)(3). 

961 Hierzu bereits Martini/Kienle, JZ 2019, 235 (240 f). 


208 


I. Informationelle bzw. datenmäßige Betrachtungsweise 


lege lata daher nur in dubio pro libertate gelten; ein uneingeschränkter Zugriff 
auf die digitale Identität des Erblassers kann nur bei entsprechender letztwilliger 


Verfügung gewährt werden’. 


cc) Ergebnis In Summe ergibt sich damit für die Garantien des Art. 14 Abs. 1 
GG eine nur geringe Anwendbarkeit für digitale Identitäten. 


Das Konstrukt des Dateneigentums, das die verknüpften Daten digitaler Identi- 
täten einschließt, wurde in seinen einzelnen intradisziplinären Begriffs- und Lö- 
sungsvorschlägen dargestellt und die mangelhafte Anwendbarkeit herausgestellt. 
Vor diesem Hintergrund konnte sodann dargelegt werden, dass die eigentliche 
Suche nach einer geeigneten Eigentumsordnung unter Verwendung bestehender 
Modelle obsolet ist: Ein Dateneigentum widerspricht schon seinem Zweck und 
Inhalt nach der Eigentumsgarantie des Art. 14 Abs. 1 Alt. 1 GG. Demgemäß 
erübrigt sich die weitere Diskussion dieser Idee; sie muss auf den Ansatz der 
Datensouveränität bzw. digitalen Souveränität ausgerichtet werden. 


Im Rahmen der Erbgarantie bleibt entgegen der Ansicht des Bundesgerichtshofes 
die Reflexwirkung des Grundrechts auf informationelle Selbstbestimmung des 
Erblassers einzubeziehen. Folglich ist entweder eine geeignete technische Lösung 
zur Regelung des digitalen Nachlasses im Vorhinein zu entwerfen und/oder zu eta- 
blieren. Dies stellt insbesondere aufgrund der international und außereuropäisch 
organisierten Diensteanbieter eine große Herausforderung dar. Andererseits muss 
sich weiterhin mit den trotz des Urteils fortbestehenden, kollidierenden Interessen 
auseinandergesetzt werden. Auch wenn eine Differenzierung nach Angebotszweck 
unter der Prämisse datenschutzrechtlicher Prinzipien nicht einfacher als bisherige 
Vorschläge erscheint, sollte diese multipolare grundrechtliche Konfliktlage wei- 
terhin rechtswissenschaftlich betrachtet werden. 


962 So auch Brinkert/Stolze/Heidrich, ZD 2013, 153 (155); Martini, JZ 2012, 1145 (1152) sowie 
Martini/Kienle, JZ 2019. 
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e) Berufsfreiheit, Art. 12 Abs. 1 GG 


Zuletzt sei vor dem Hintergrund der Frage nach einem Dateneigentum auch ei- 
ne gegenläufige These einzubeziehen, die sich jüngst im amerikanischen Raum 
gebildet hat. Mit der Frage „Should we treat data as labor?“ stellten die Autoren 
des gleichnamigen Papers” die Theorie vor, jede Weitergabe von Daten bei der 
Nutzung von Diensten im Internet oder auch anderen Angeboten mit automati- 
sierter Datenverarbeitung als Arbeit anzusehen. Diese Idee fußt auf der Ansicht, 
dass die Weitergabe von Daten an Diensteanbieter zur weiteren Datengenerie- 
rung von künstlichen Intelligenzen oder anderen Rechenprozessen führt, welche 
sich ausschließlich zu Gunsten des Diensteanbieters auswirken. Gerade künstli- 
che Intelligenzen im Sinne des Machine Learnings’ sind darauf angewiesen, 
auf Basis von (menschlichen) Daten zu Lernen und die Daten dementsprechend 
zu verarbeiten. Ohne eine Datenzufuhr ist dies nicht möglich. Somit wird die 
Leistung der künstlichen Intelligenz oder jeder anderen Recheneinheit mit der 
Datenweitergabe verknüpft, deren gemeinsames Resultat die Arbeitsleistung ist. 
Der Ansatz ist damit konträr zu der im Bereich des Dateneigentums geführten 
Diskussion. (Personenbezogene) Daten als Arbeitsleistung anzuerkennen führt — 
so die Autoren — zum Verbleib des Besitzes der Daten beim Individuum, dem als 
Anreiz bzw. Gegenleistung auch ein Arbeitslohn gewährt wird. Das Individuum, 
auch Datenarbeiter genannt, kann so den gegenwärtigen Beruf ablegen und aus 
der Datenarbeit psychologische (z.B. Selbstbewusstsein, Hingabe) wie finanzielle 
Gewinne erzielen. Demgegenüber erscheint das Modell von Daten als Vermögen 
bzw. Eigentum negativ behaftet, verbleibt der Vermögenswert der Daten bei den 
Diensteanbietern (z.B. durch Weiterverkauf der Daten an Werbetreibende) und 
ergibt sich mangels eines angemessenen Ausgleichs auch eine Dysbalance zwi- 
schen Dateninhaber und Diensteanbieter. Zumindest ist der „kostenlose“ Zugang 
in letzterem Modell nicht als angemessene Gegenleistung zu werten. 


963 Siehe im Folgenden Ibara et al., Should We Treat Data as Labor. 
964 Zum Begriff siehe Kapitel B.IV.1. sowie ausführlich Herberger, NIW 2018, 2825 (2825 ff). 
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Die Diskussion ist untrennbar mit der Figur der digitalen Identität verknüpft. 
Um als Datenarbeiter die Arbeitsleistung zu erbringen und eine angemessene 
Gegenleistung zu erhalten bedarf es — so auch das Paper” — einer allumfas- 
senden Datenerhebung über die analoge Identität, sodass die erhobenen Daten 
möglicherweise auch der digitalen Gesamtidentität entsprechen. Insofern blie- 
be zu überprüfen, ob der gemeinsame Verarbeitungsvorgang von Mensch und 
Maschine als Beruf im Sinne des Art. 12 Abs. 1 GG angesehen werden kann. 


Unter dem Beruf des Art. 12 Abs. 1 GG ist nach gefestigter Auffassung in Recht- 


sprechung”® und Literatur?’ 


jede auf Dauer angelegte Tätigkeit zur Schaffung 
und Erhaltung einer Lebensgrundlage zu verstehen. Auf ein Erlaubtsein des Beru- 
fes kommt es nicht an.’°® Mithin ist der Begriff des Berufes weit auszulegen, um 


969 und auch moderne Berufsbilder 


einen möglichst weiten Schutz zu garantieren 
zu umfassen. So kommt es nicht auf die Schwere oder den aktiven/passiven Cha- 
rakter der Arbeit an, weshalb auch „Fernsehen“ oder „Musik hören“ als Arbeit 
angesehen werden könnten. Insofern besteht für den Grundrechtsträger ein „Be- 
rufserfindungsrecht“.?’”° Im Gegensatz dazu ist der reine Müßiggang allerdings 
von der Handlungsfreiheit des Art. 2 Abs. 1 GG geschützt; es fehlt hierbei schon 
an einer Entlohnung.?”' Prinzipiell würde die Datenarbeit nach dem dargelegten 
Modell auf die Schaffung und Erhaltung einer Lebensgrundlage gerichtet sein, 
soll doch das aktuell bestehende Nebeneinander von Berufstätigkeit und Nutzung 
„kostenloser“ Angebote aufgelöst werden. Allerdings würde auch das Nebenein- 


ander eine Eröffnung des Schutzbereichs in diesem Punkt nicht hindern, da auch 


965 Ibaraetal., Should We Treat Data as Labor, S. 3. 

966 BVerfGE 7, 377 (379), 102, 197 (212); 105, 252 (265); 111 10 (28). 

967 Siehe nur Mann in: Sachs, GG, Art. 12, Rn. 43 ff; Kloepfer, VerfR II, $ 70, Rn. 23 ff. 

968 Siehe nur BVerfGE 115, 276 (300 f). Ausführlich Schneider in: Merten/Papier, HGr V, § 113, 
Rn. 56. 

969 BVerfGE 14, 19 (22); 68, 272 (281). 

970 Stern, StaatsR IV/l, S. 1788; Scholz in: Maunz/Dürig, GG-Kommentar, Art. 12, Rn. 276; 
Schneider in: Merten/Papier, HGr V, $ 113, Rn. 57. 

971 Vgl. Schneider in: Merten/Papier, HGr V, $ 113, Rn. 8. Dennoch kann nicht ausgeschlossen 
werden, dass auch mit Müßiggang im Wortsinn ein Beruf ausgeübt werden kann, beispielsweise 
als Kurs in Geh-Meditation. 


211 


D. Konkrete Schutzaspekte kraft Verfassungsrecht 


Neben- und Zweitberufe als solche unter den Begriff fallen?’?. Weiterhin spricht 


für die Idee der Datenarbeit, dass durch die Berufsausübung iSd Art. 12 Abs. 1 GG 
stets auch die Fähigkeit des Menschen gefördert wird, die Voraussetzungen für 


973, Zudem 


eine individuelle wie gesamtgesellschaftliche Reputation zu schaffen 
erscheint das neue Berufsbild nicht sozialschädlich. Der Öffnung der Berufsfrei- 


heit für die Datenarbeit steht demnach nichts entgegen. 


Der somit eröffnete Schutzbereich der Berufsfreiheit ist umfangreich definiert. 
Nicht nur die dem Wortlaut des Art. 12 Abs. 1 GG entnehmbaren Kategorien von 
Beruf und Arbeitsplatz sind umfasst, also sowohl die Organisationsform als auch 
die eigentliche Grundform des grundrechtlich geschützten Handelns?”’*. Weiter 
sind auch die freie Wahl des Arbeitsplatzes, die Arbeitskraft und ihr Aufrecht- 
erhalten, Arbeitsmittel und ihre Nutzung sowie das Recht auf einen angemessenen 
Arbeitsertrag Teil des Art. 12 Abs. 1 GG.?” Betreffend die Vorstellung des Daten- 
arbeiters, ergibt sich ein Schutz sowohl der gerechten Entlohnung (insbesondere 
unter Einbeziehung des Art. 1 Abs. 1 GG’) als auch ein Schutz der „digitalen 
Arbeitskraft“. Gleichwohl die Digitalisierung das traditionelle Berufsbild ändert, 
so ändert sich nicht die für Art. 12 Abs. 1 GG typisch-ökonomische Konstella- 
tion tendenziell schwächeren Arbeitnehmer und dem aus seiner Machtposition 
gewährenden Arbeitgeber. Auf diese Konstellation wird sogleich noch vertiefter 
einzugehen sein. 


Zuvor ist es allerdings unvermeidlich, die Beschränkung der Berufsfreiheit beim 
vorliegenden Konstrukt näher herauszubilden. In der Konsequenz tangiert die Tä- 
tigkeit eines Datenarbeiters bei Einspeisung und Anreicherung personenbezogener 
Daten das Grundrecht auf informationelle Selbstbestimmung gem. Art. 2 Abs. 1 
iVm 1 Abs. 1 GG. Fraglich ist daher, ob sich das Berufsbild auf Schrankenebene 
auch in die Verfassungsordnung einpassen lässt. Die Berufsfreiheit ist expressis 


972 BVerfGE 110, 141 (156 f). 

973 So Schneider in: Merten/Papier, HGr V, § 113, Rn. 3. 

974 Schneider in: Merten/Papier, HGr V, § 113, Rn. 7. 

975 Schneider in: Merten/Papier, HGr V, § 113, Rn. 7 ff, 54 ff, Kloepfer, VerfR I, $ 70, Rn. 32 f, 
40 f. 

976 Vgl. BVerfGE 137, 34; Schneider in: Merten/Papier, HGr V, § 113, Rn. 13. 
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verbis nicht schrankenlos gewährt, da Art. 12 Abs. 1 S. 2 GG auf die Beschrän- 
kung durch oder aufgrund eines Gesetzes hinweist. Überdies können aber auch 
verfassungsimmanente Schranken gelten. Dazu bedarf es allerdings eines „akti- 
vierenden“ Gesetzes, welches dem Schutz eines verfassungsrechtlichen Rechts- 
guts dient.?’’ Nicht fern liegt im Falle der digitalen Identität das nationale wie 
unionsrechtliche Datenschutzrecht, das vorwiegend die informationelle Selbstbe- 
stimmung schützt — vgl. Art. 1 Abs. 1 DSGVO. Die typischen Anforderungen an 
Schranken bzw. Eingriffe in die Berufsfreiheit überschauend bleibt hinsichtlich der 
Schranken eine Einordnung des Eingriffs durch aktivierende Gesetze zu prüfen, 
um den Prüfungsmaßstab für die weitere Betrachtung zu ermitteln. Diesbezüg- 
lich ist festzustellen, dass es sich bei den Regelungen zum Datenschutz höchstens 
mittelbar um Normen mit einer berufsregelnden Tendenz handelt. Beispielsweise 
nimmt der Datenschutz durch Vorgaben zur Minimalisierung der Datensammlung 
entsprechend Einfluss und begrenzt die Verwertbarkeit der abgebildeten digita- 
len Identität. Es dürfen auch im datenbasierenden Beschäftigungsverhältnis gem. 
Art. 88 Abs. 1 DSGVO iVm $ 26 Abs. 1 S. 1 BDSG nur jene Daten verarbeitet 
werden, die für die Tätigkeit erforderlich sind. Nicht erforderlich sind einzelne 
Daten der digitalen Identität so lange, wie sie nicht für die Verarbeitung durch die 
künstliche Intelligenz und deren voraussichtlichen Einsatzzweck nötig sind; das 
Vorhalten von Daten darüber hinaus entfällt.” Dementsprechend nimmt das Da- 
tenschutzrecht nur beiläufig Einfluss auf das zu untersuchende Berufsbild, wenn 
es nur mittelbar die Regelung einzelner Vorgaben an das Berufsbild bestimmt. Im 
Vordergrund des Datenschutzrechts steht die Verfügungshoheit über die den Da- 
tenarbeiter selbst betreffenden Daten, unabhängig seines Berufes. Insofern ist von 
einer objektiv berufsregelnden Tendenz auszugehen.?”” Für die weitere Prüfung 


977  Ruffert in: Epping/Hillgruber, BeckOK GG, Art. 12, Rn. 84 unter Verweis auf BVerwGE 87, 
37 (45), Kloepfer, VerfR II, $ 70, Rn. 74. 

978 Schon dies widerspricht dem Konzept von Ibara etal., wo das Herrschaftsrecht bzw. „Eigen- 
tumsrecht“ an Daten beim Identitätsinhaber verbleiben soll. Dies wäre dann nicht möglicher- 
weise mehr gewährleistet, wenn die Daten über den Verarbeitungsprozess hinaus gespeichert 
würden. Sicherer und zweckmäßiger erscheint es, die künstliche Intelligenz erneut bei jedem 
Arbeitsvorgang mit den Daten zu speisen. 

979 Zum Begriff siehe Ruffert in: Epping/Hillgruber, BeckOK GG, Art. 12, Rn. 55 mwN; Kloep- 
fer, VerfR II, $ 70, Rn. 57. 
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dürften Regularien, die den Umgang mit den eigenen Daten auch im Beschäftig- 
tenkontext betreffen, lediglich als Regelungen zur Berufsausübung im Rahmen der 
Drei-Stufen-Theorie zu qualifizieren sein. Für eine Rechtfertigung reichen sodann 


vernünftige Erwägungen des Gemeinwohls aus.’ 


Vor diesem Hintergrund ist zu diskutieren, inwiefern die freie Berufswahl und 
-ausübung des Datenarbeiters zum Schutz seiner digitalen Identität eingeschränkt 
werden kann. Wie soeben eingeführt, konfligiert hier die Berufsfreiheit mit dem 
Grundrecht auf informationelle Selbstbestimmung gem. Art. 2 Abs. 1iVm 1 Abs. 1 
GG. Spezifische Kollisionen könnten sich beispielsweise dann ergeben, wenn die 
Wertigkeit der digitalen Identität bzw. eingespeister Daten mit einer stark schwan- 
kenden Entlohnung einhergeht oder gar die Qualität der Daten in Abhängigkeit 
zur Person steht. Auch einer Diskrminierung aufgrund verschiedener Sexualität 
oder Gesundheitsgrade ist (gedanklich) keine Grenzen gesetzt. In diesen Fällen 
durchwirkt allerdings der Gleichheitsgrundsatz des Art. 3 Abs. 1 GG bzw. Art. 21 
Abs. 1 GrC mit seinem Diskriminierungsverbot etwaige zivilrechtliche Verträge 
im Rahmen der mittelbaren Drittwirkung. Möglicherweise könnte dieses Risiko 
beim Berufsbild der Datenarbeit auch die Schutzpflicht des Gesetzgebers auslö- 
sen, wenn bestehende Gesetze — insbesondere Art. 22 DSGVO - ihre Wirkung 
verfehlen. Den Beschäftigungskontext betreffend ist der Gesetzgeber ohnehin nach 
Art. 88 Abs. 1 DSGVO zur Regelung des Beschäftigtendatenschutzes angehalten. 
Aber auch in dieser Hinsicht bestehen Bedenken bei der Gewährleistung einiger 
datenschutzrechtlicher Prinzipien: Die Ansammlung der Daten in einem für die 
Theorie von /baraetal. erdachten Modell widerspricht grundlegend dem Gedan- 
ken der Datenminimierung gem. Art. 5 Abs. 1 lit. c sowie der Speicherbegrenzung 
iSe Erforderlichkeit gem. Art. 5 Abs. 1 lit. e DSGVO, wobei beide im Licht des 
(Unions-)Grundrechts der informationellen Selbstbestimmung zu lesen sind bzw. 


diesem dienen. Ebenso finden sich diese Prinzipien in deren Schutzgehalt.”®' 


Gewichtige Zweifel an einer einfachen Umsetzung des Berufsbildes lassen sich 
zudem hinsichtlich einer rechtskonformen Einwilligung in die Datenverarbeitung 


980 Siehe BVerfGE 7, 377 (405). 
981 Siehe D.I.1.b)aa). 
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finden. Die Verarbeitungsgrundlage der Datenarbeit dürfte regelmäßig der Ar- 
beitsvertrag sein, der sich Art. 6 Abs. 1 lit. b DSGVO zuordnen ließe. Jede 
weitere, auch nur vorübergehend über den Vertragstypus hinausgehende Verar- 
beitung bedürfe der Einwilligung. Dies ist auch dann der Fall, wenn zum Zeitpunkt 
der Einstellung nicht bekannt ist, für welche Verarbeitungs- und Analysezwecke 
die Informationen des Datenarbeiters verwendet werden sollen. Sodann ist zu 
überprüfen, ob und wie eine Datenarbeit auf Grundlage einer Einwilligung die 
dahingehende Berufsfreiheit beschränkt. 


Grundsätzlich — sowohl nach dem durch die Rechtsprechung des Bundesverfas- 


982 als auch die datenschutz- 


sungsgerichts geprägten Selbstbestimmungsrechts 
rechtliche Konkretisierung”®° — setzt eine Einwilligung eine informierte und frei- 
willige positive Willensbekundung voraus. Zur Umsetzung der Anforderungen 
dient insbesondere die Pflicht zur Transparenz über den Verwendungszweck und 
die einzelnen Verarbeitungsvorgänge.’®* Daraus resultiert jedoch, dass der Da- 
tenarbeiter nicht zur Abgabe der digitalen Identität an seinen Arbeitgeber durch 
Anreize oder andere Mittel mit Zwangswirkung genötigt wird. So könnte sich an 
eine sukzessive Abgabe der Daten denken lassen, die mit steigender Bezahlung 
oder einmaligen Boni vergütet wird. In einem solchen Fall ist möglicherweise 
die bis zuletzt strittige Lesart und Anwendung des sog. Kopplungsverbots bei 
Einwilligungen (Art. 7 Abs. 4 DSGVO) einzubeziehen, die sich mit der Verknüp- 


9 


fung der Weitergabe von Daten über den Vertragsgegenstand hinaus?®> mit einer 


„Entlohnung“ - z.B. einem kostenfreien Angebot — auseinandersetzt. 


Exemplarisch sei daher die Situation der Datenarbeit derart ausgestaltet, als dass 
ein Basis-Arbeitsvertrag dazu dient, weitere und über den Verarbeitungszweck 


982 In Ansätzen BVerfGE 65, 1 (42 f): „Individuelle Selbstbestimmung setzt aber — auch unter den 
Bedingungen moderner Informationsverarbeitungstechnologien — voraus, daß dem Einzelnen 
Entscheidungsfreiheit über vorzunehmende oder zu unterlassende Handlungen einschließlich 
der Möglichkeit gegeben ist, sich auch entsprechend dieser Entscheidung tatsächlich zu verhal- 
ten.“ 

983 Siehe Art. 4 Nr. 11, 7 sowie ErwGr 32, 42 DSGVO. 

984 Zu dem Merkmalen der Einwilligung siehe bereits D.1.1.b)bb)(3). 

985 Zum umgrenzten Anwendungsfall des Kopplungsverbots siehe Engeler, ZD 2018, 55 (57 f). 
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des Basis-Arbeitsvertrags hinausgehende Aufträge auf Einwilligungsbasis abzu- 
sichern. In Ansehung des sog. Kopplungsverbots des Art. 7 Abs. 4 DSGVO ist 
insbesondere dann von einer freiwillig erteilten Einwilligung der einzelnen Auf- 
träge auszugehen, wenn die Erbringung einer Dienstleistung oder die Erfüllung 
eines Vertrages unter Würdigung des Gesamtkontexts nicht von einer zusätzli- 
chen Einwilligung abhängig ist. Mit anderen Worten: Die Einwilligung darf nicht 
zu einer „Take it or leave it“-Situation führen.?®® Dies ist insbesondere der Fall, 
wenn „zwischen der betroffenen Person und dem Verantwortlichen ein klares 
Ungleichgewicht besteht‘”®’. Dies ebenfalls für das Verhältnis zwischen (Daten- 
)Arbeitgeber und (Daten-)Arbeitnehmer anzunehmen erscheint nicht abwegig. 
Schließlich prägt ein solches Missverhältnis auch die grundrechtliche Stärkung 
des Arbeitnehmers durch Art. 12 Abs. 1 sowie 9 Abs. 3 GG.°®® Allerdings spricht 
der Wandel des Unionsgesetzgebers gegen ein solches Verständnis, da dieser 
sich gegen eine ausdrückliche Aufnahme in die Erläuterungen zur Freiwilligkeit 
in Erwägungsgrund 43 der DSGVO entschloss”®?. Stattdessen verweist die Öff- 
nungsklausel des Art. 88 DSGVO auf $ 26 BDSG, der in Abs. 2 spezifische 
Vorgaben zur Freiwilligkeit der Einwilligung ähnlich zum Kopplungsverbot ent- 
hält. Diese ist insofern erforderlich, da sich die Auslegungsgrundsätze des Art. 7 
Abs. 4 DSGVO von einseitigen Einwilligungen nicht auf mehrseitige Rechtsge- 
schäfte wie Verträge übertragen lassen.” Verfolgt man den utopischen Ansatz 
nach /bara etal. stringent, basiert die Verarbeitung wohl auf Arbeitsverträgen 
und ist damit Gegenstand des Beschäftigtendatenschutzes. Auf nationaler Ebene 
ist im Rahmen des $ 26 BDSG anzunehmen, dass es sich bei den Akteuren im 
diskutierten Modell unproblematisch um Beschäftigte des $ 26 Abs. 8 BDSG 


986 Klement in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 7, Rn. 56; Buch- 
ner, Informationelle Selbstbestimmung im Privatrecht, S. 107 f; Buchner, DuD 2016, 155 
(158). Vgl. ErwGr 43 S. 2 DSGVO; Bräutigam, MMR 2012, 635 (640); Krüger, ZRP 2016, 
190 (191). 

987 ErwGr 43 S. 1 DSGVO. 

988 Vgl. Scholz in: Maunz/Dürig, GG-Kommentar, Art. 12, Rn. 91 f; Cornils in: Epping/ 
Hillgruber, BeckOK GG, Art. 9, Rn. 38. 

989  Buchner/Kühling in: Kühling/Buchner, DSGVO, Art. 7, Rn. 77. 

990  Engeler, ZD 2018, 55 (58 f). 
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handelt und $ 26 Abs. 1, Abs. 2 BDSG Anwendung findet. Damit dürfen perso- 
nenbezogene Daten, also auch Daten der digitalen Identität, für die Zwecke des 
Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die Begründung ei- 
nes Beschäftigungsverhältnisses oder nach Begründung für dessen Durchführung 
erforderlich ist. Erfolgt die Verarbeitung auf Basis einer Einwilligung, treten wei- 
tere Prüfpflichten hinsichtlich eines Abhängigkeitsverhältnisses hinzu ($ 26 Abs. 2 
S. 1,2 BDSG). Im Falle der beschriebenen Datenarbeit sind diese unumgänglich. 
Im Zuge der jeweiligen Erforderlichkeitsprüfung sind allerdings die datenschutz- 
rechtlichen Grundprinzipien iSd Art. 5 DSGVO einzubeziehen, sodass dennoch 
die o.g. Maßstäbe der Datenminimierung und Speicherbegrenzung zu beachten 
sind. Daher sind die digitalen Identitäten der Datenarbeiter nach Möglichkeit nicht 
als Gesamtidentitäten anzulegen, sondern zweckgebunden (vgl. Art. 5 Abs. 1 lit. b 
DSGVO) und nur mit den notwendigen Daten vorzuhalten. Hierüber ist der Be- 
schäftigte entsprechend zu informieren, vgl. Art. 12 Abs. 1, 13 DSGVO. Erfolgt die 
Verarbeitung personenbezogener Daten im Rahmen der Beschäftigung hingegen 
qua Einwilligung, so sind die Maßstäbe des $ 26 Abs. 1, Abs. 2 BDSG anzuwen- 
den. Das Ungleichgewicht zwischen Arbeitgeber und Arbeitnehmer, das gerade 
durch die finanzielle wie rechtliche Bindung entsteht, wird allerdings ausdrücklich 
gem. $ 26 Abs. 2 S. 2 BDSG ausgeschlossen. Damit wirkt es sich nicht negativ auf 
die Prüfung der Freiwilligkeit einer Einwilligung nach $ 26 Abs. 2 S. 1 BDSG aus. 
In der Gesamtschau erscheint die Erhebung der digitalen Identität als Basis des 
Beschäftigungsverhältnisses wider Erwarten datenschutzkonform möglich, wenn 
die auftragsbezogene Einwilligung zur Erfüllung des Beschäftigungsverhältnisses 
erfolgt und die übrigen datenschutzrechtlichen Vorgaben hinreichend berücksich- 
tigt werden. 


Aus der vorangehenden Erläuterung ergibt sich auf Basis der einfachgesetzlichen 
Ausgestaltung der informationellen Selbstbestimmung gem. Art. 2 Abs. 1 iVm 
1 Abs. 1 GG eine Kollisionslage mit der Berufsfreiheit des Art. 12 Abs. 1 GG. 
Diese ist insbesondere auf das Machtgefälle zwischen Arbeitgeber und Arbeit- 
nehmer zurückzuführen, das sich so verfassungsrechtlich widerspiegelt. Entgegen 
der sonst hohen Gewichtung des Datenschutzes als persönlichkeitsrechtliches In- 
teresse gegenüber unternehmerischen Freiheiten wie Art. 12 Abs. 1 GG lässt 
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sich die eingangs dargestellte Theorie von Ibara etal. wohl mit geltenden ver- 
fassungsrechtlichen Grundsätzen vereinbaren. Gerade die freie Betätigung und 


991 


grundrechtlich geschützte Privatautonomie des Individuums”, mit seinen Daten 


992 sowie auch ihren Wert als Tauschware oder „in barer Münze“ 


frei verfügen 
nutzen zu können, unterstützt diese These. Der Staat darf (und kann) trotz sei- 
ner Beschützerfunktion im Rahmen der Schutzpflichtenerfüllung nicht jegliche 
Gefährdung des Grundrechtsträgers ausschließen. Vor diesem liberalen Gedan- 
ken verschließt sich der europäische Gesetzgeber nicht, wie auch der Entwurf 
der Richtlinie über bestimmte vertragsrechtliche Aspekte der Bereitstellung digi- 
taler Inhalte in Art. 3 Abs. 1 sowie Erwägungsgrund 13 andeuten.°”® Trotzdem 
ist auch in diesen Fällen auf privatrechtlicher Ebene das Verfassungsrecht im 
Wege von Generalklauseln zu berücksichtigen, sodass sich die Datenarbeit ei- 
ner Ausbeutung durch „digitalen Sell-Out“ verschließt. Dies würde nicht nur das 
Grundrecht auf informationelle Selbstbestimmung ad absurdum führen, sondern 
auch dem Grundsatz der Menschenwürde widersprechen.?* Darüber hinaus wird 
die Selbstbestimmung des Datenarbeiters durch die des Arbeitgebers als ebenso 
privater Akteur begrenzt; ein Unterwerfen widerstrebt der Privatautonomie.””> 
Ansätzen der Diskriminierung von Daten und Arbeitnehmern oder der zwanghaf- 
ten Abgabe einer Einwilligung, ohne dass dies für das Beschäftigungsverhältnis 
erforderlich ist, ist mittels Schutzpflichtenerfüllung entgegenzuwirken. Unter an- 
derem müsste der Gesetzgeber auch die Spezifika des Datenschutzes und Daten in 
technischer Hinsicht für derartige Arbeitsverhältnisse regeln, um nicht gegen das 
Untermaßverbot zu verstoßen. So müssten die mangelnde Rivalität und Exklu- 
sivität der Daten ebenso berücksichtigt werden, wobei dies rein technisch kaum 
überwindbar erscheint und zu entsprechenden Folgeproblemen führen würde. Oh- 
nehin müsste der Gesetzgeber die aus Art. 12 Abs. 1 GG folgende, spezifische 


991  Isensee in: Isensee/Kirchhof, HStR VII, $ 150, Rn. 7, 50 ff, 57 f sowie zu Art. 12 Abs. 1 GG 
in Rn. 63. 

992 Vgl. Jandt in: Jandt/Steidle, Datenschutz im Internet, B.I., Rn. 27. 

993 Der Entwurf der Richtlinie ist abrufbar unter https://ec.europa.eu/transparency/regdoc/rep/1/ 
2015/DE/1-2015-634-DE-F1-1.PDF (Abruf am 13.10.2018). 

994 Zur besonderen Rolle der Menschenwürde als Grenze der Datenerhebung siehe Hoff- 
mann etal., Die digitale Dimension der Grundrechte, S. 34 f. 

995 Vgl. Isensee in: Isensee/Kirchhof, HStR VII, $ 150, Rn. 17, 104. 
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Variante der Privatautonomie wegen seiner Inhaltsoffenheit ausformen müssen.” 


Die (zurecht) mangelnde Eigentumsordnung würde wenig hierzu beitragen kön- 
nen, insbesondere wenn künstlichen Intelligenzen als nicht entwirrbares Bündel 
an Datensätzen digitaler Identitäten und automatisierter Entscheidungen erzeu- 
gen. Zwar ergibt sich eine Parallele zum Gesamthandseigentum iSe Gesellschaft 
bürgerlichen Rechts nach $ 705 ff BGB, die dann aber in Anbetracht des eigent- 
lich relevanten Schutzguts””’ auszuschließen ist. Geeigneter scheint eine Parallele 
zur Investitionsleistung des Datenbankschutzrechts gem. $ 87a Abs. 1 UrhG.??® 
Diese existiert jedoch gerade wegen mangelnder Eigengehalte der Datenbanken 
für Maschinendaten; kumulierter personenbezogene Daten sind hierüber nicht zu 
schützen. Andernfalls würden das Investitionsrecht des KI-Programmierers und 
der Dateninvestoren kollidieren oder gar verschmelzen. Letztere Situation ist von 
der Rechtswissenschaft bislang ungeklärt. Gleichermaßen ungeklärt bleibt, ob im 
Rahmen dieser Utopie nicht auch tatsächliche Schranken des Marktes eintreten 
und es zu einer Übersättigung des Datenmarktes kommt — Daten verlieren plötz- 
lich an Wert, möglicherweise kommt es zu einer Inflation. Diese eher dystopischen 
Züge wären jedoch eher Gegenstand eigenständiger Forschung und aufgrund ihrer 
mangelnden Nachweisbarkeit nicht mehr Teil dieser Arbeit. 


Zusammenfassend gilt damit ein Schutz der Erstellung der digitalen Identität, so- 
fern sich dieses als Berufsbild abzeichnet und die wiederholende Datenspeisung 
an sich darunter zu fassen ist. Dabei sind jedoch entsprechende Schranken durch 
den Gesetzgeber zum Schutz des Grundrechts auf informationelle Selbstbestim- 
mung vorzusehen und datenschutzrechtliche wie verfassungsrechtliche Prinzipien 
spezifisch zu regeln. Ebenso vertretbar wäre es aber auch, das Aufkommen dieses 
Berufsbildes nach /bara etal. zu unterbinden und einer Anreizschaffung der „di- 
gitalen Ausbeutung“ vorzuwirken. Die Prärogative liegt ganz beim Gesetzgeber. 
Allerdings nicht geschützt ist jede alltägliche Erstellung einer digitalen Identität, 


996 Zum gesetzgeberischen Gestaltungsspielraum dahingehend siehe /sensee in: Isensee/ 
Kirchhof, HStR VII, 63, 85 f. 

997 Siehe D.I.1.b)aa)(3). 

998  Derart Specht/Rohmer, PinG 2016, 127 (131); ausführlich Schwartmann/Hentsch, PinG 2016, 
117 ff. Diese und weitere Parallelen zum Urheberrecht grundweg ablehnend Fezer, Repräsen- 
tatives Dateneigentum, S. 32. 


219 


D. Konkrete Schutzaspekte kraft Verfassungsrecht 


beispielsweise zur Nutzung eines Angebots. Diese unterfällt wiederum der Aus- 
übung der informationellen Selbstbestimmung des Art. 2 Abs. 1 iVm 1 Abs. 1 
GG. 


f) Conclusio für natürliche Personen 


Die digitale Identität natürlicher Personen ist in informationeller Hinsicht vorwie- 
gend durch die dahingehend ausgerichteten Grundrechte geschützt, namentlich 
das Grundrecht auf informationelle Selbstbestimmung und ggf. mittelbar das 
Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informations- 
technischer Systeme gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG. Letzteres betrifft 
indes einen systemgerichteten Schutz und kommt dem informationellen Schutz 
nur mittelbar zugute. Im Grundrecht der informationellen Selbstbestimmung geht 
die digitale Identität jedoch vollumfänglich auf, indem sie in all ihren Facetten in 
Quantität und Qualität sowie Persönlichkeitssphären umfasst ist. Problembehaftet 
sind dabei die Grenzfälle der Facetten, namentlich anonyme bzw. anonymisier- 
te digitale Identitäten. Diesen ist jedoch als bewusst mangelndes Dasein von 
personenbezogenen Daten grundrechtlicher Schutz zu gewähren. Die politischen 
Bestrebungen zur Einrichtung eines Dateneigentums als Anhaltspunkt für die 
Eigentumsgarantie des Art. 14 Abs. 1 S. 1 Alt. 1 GG können dagegen nicht über- 
zeugen, sowohl hinsichtlich der definitorischen Einordnung als auch bei näherer 
Betrachtung des eigentlichen Schutzguts. Das durch das Dateneigentum eigentlich 
forcierte Ziel der digitalen Souveränität wird vielmehr durch die informationelle 
Selbstbestimmung des Art. 2 Abs. 1 iVm 1 Abs. 1 GG aufgefangen. Letztlich 
ebenso gewagt ist die Einspeisung von Daten zur Anreicherung einer digitalen 
Identität zum Zweck der Erwerbstätigkeit in die Berufsfreiheit des Art. 12 Abs. 1 
GG. Wenngleich die Berufswahlfreiheit ein Berufserfindungsrecht enthält, so feh- 
len dennoch spezifische Rahmenregelungen zur Vorbeugung datenschutzrechtlich 
wie grundrechtlich schwerwiegender Folgen. In dieser Hinsicht bleiben legislative 
wie gesellschaftliche Prozesse abzuwarten. 


Dieses Ergebnis bedeutet allerdings mitnichten, dass die digitale Identität le- 
diglich ihren Schutz aus dem Grundrecht auf informationelle Selbstbestimmung 
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gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG ableiten kann. Wie dargestellt, finden sich 
in diesem Grundrecht die grundlegenden und maßgeblichen Parameter für den 
selbstbestimmten Umgang mit der digitalen Identität im Rahmen des eingangs 


erläuterten Lebenszyklus?” 


. Einzelne, grundrechtsspezifische Handlungen, die 
analog auch diesem Grundrecht zugeordnet würden, sind dann der jeweiligen 
digitalen Dimension des Grundrechts zuzuordnen. Das Grundrecht auf informa- 
tionelle Selbstbestimmung erweist sich somit als Auffanggrundrecht. Insofern sei 
auf den Überblick der jeweiligen digitalen Dimensionen aller Grundrechte von 
Hoffmann etal. verwiesen, da eine Betrachtung aller möglicher Handlungsvarian- 
ten durch digitale Identitäten den inhaltlichen Rahmen dieser Arbeit überschreiten 


würde. 


2. Zur digitalen Identität juristischer Personen iSd 
Art. 19 Abs. 3 GG 


Nach der ausführlichen Betrachtung der digitalen Identität natürlicher Personen 
und deren grundrechtliche Einordnung bedarf es unter Rekurs auf B.II. eben- 
falls einer Einordnung der dargestellten digitalen Unternehmensidentität in das 
grundrechtliche Gesamtgefüge. Aufgrund der für juristische Personen des Privat- 
rechts vorzunehmenden Einschränkung auf die bloß wesensmäßig anwendbaren 
Grundrechte iSd Art. 19 Abs. 3 GG beschränkt sich die nachfolgende Betrach- 
tung auf die Berufsfreiheit des Art. 12 Abs. 1 GG, die relevanten Aspekte des 
Rechts am eingerichteten und ausgeübten Gewerbebetrieb aus Art. 14 Abs. 1 GG 
sowie Bezüge zu Art. 2 Abs. 1 iVm 1 Abs. 1 GG - also die potentiell geeigneten 


Grundrechte für einen „zweckgebundenen Schutz des Rufes“100, 


999 Siehe B.Il.2. 
1000 Quante, Das allgemeine Persönlichkeitsrecht juristischer Personen, S. 102. 
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a) Zum verfassungsrechtlichen 
Unternehmenspersönlichkeitsrecht 


Insbesondere wegen genannter Bezüge bedarf es vor der tiefergehenden Be- 
trachtung der Darstellung verfassungsrechtlicher Bezüge der (digitalen) Unter- 
nehmensidentität bzw. -persönlichkeit. Hierunter ist nach hiesiger Auffassung 
die intern und extern gelebte, vereinheitlichte Handlungsweise eines Unterneh- 
mens zu verstehen, zumeist festgelegt in Leitfäden und ähnlichen zwingenden 
Vereinbarungen. !®! Diese leitet sich jedoch bislang aus praktischen wie ökono- 
mischen Erwägungen ab und findet sich in der verfassungsrechtlichen Literatur 
kaum oder nur oberflächlich: Während die Unternehmenspersönlichkeit als solche 
selten umfassend besprochen wird, finden sich zumindest Ansätze in der persön- 
lichkeitsrechtlichen Kommentierung des Grundgesetzes!'?. Ebenso hat sich das 


{1003 sondern die Thema- 


Bundesverfassungsgericht bislang nicht hierzu geäußer 
tik lediglich partiell gestreift — beispielsweise in Bezug auf Mithöreinrichtungen 
und das Recht am eigenen Wort aus Art. 2 Abs. 1 GG!”* oder zum Schutz 
vor unzulässiger und rufschädigender Information der Öffentlichkeit iRd Art. 12 
Abs. 1 GG!'®. Eine umfängliche Betrachtung jüngeren Datums gelingt Koreng, 
wenn auch das Konstrukt der Unternehmenspersönlichkeit abgelehnt und dazu 
im Widerspruch eine persönlichkeitsrechtliche Auffangfunktion des Art. 2 Abs. 1 
GG gegenüber Art. 12 Abs. 1, 14 Abs. 1 GG angenommen wird.!0° Letzteres 


wurde zwar später vom Bundesverfassungsgericht bestätigt, indem Art. 2 Abs. 1 


1001 Siehe B.NI. mwN. 

1002 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2 GG, Rn. 33 f, Enders in: Epping/ 
Hillgruber, BeckOK GG, Art. 19, Rn. 40 f; Remmert in: Maunz/Dürig, GG-Kommentar, 
Art. 19 M, Rn. 103; Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 2 I GG, Rn. 383 f; 
Murswiek/Rixen in: Sachs, GG, Art. 2, Rn. 39. Ferner auch Stern, StaatsR IV/1, S. 246 f; 
Kube in: Isensee/Kirchhof, HStR VII, $ 148, Rn. 75. 

1003 Siehe nur BVerfG NJW 2010, 3501 (3502, Rn. 25): „Auch der vorliegende Fall gibt keinen 
Anlass, diese Fragen abschließend zu beantworten.“ Ebenso offenlassend BVerfG NJW 2001, 
502 (505). 

1004 BVerfGE 106, 28 (43 f). 

1005 Vgl. BVerfGE 105, 252 (265 ff); 148, 40 (50 ff, Rn. 26 ff). 

1006 Koreng, GRUR 2010, 1065 (1069). 
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gegenüber Art. 12 Abs. 1 GG in Sachen der Unternehmenspersönlichkeit als sub- 
sidiär erklärt wurde.'%” Zurück bleibt jedoch besagter Widerspruch, trotz einer 
nicht bestehenden bzw. abzulehnenden Unternehmenspersönlichkeit zumindest 
vom Allgemeinen Persönlichkeitsrecht abstammende (selbstständige) Teilrechte 
anzuerkennen - beispielsweise das Namensrecht, das Recht der persönlichen Ehre 
oder das Recht auf Geheim- und Privatsphäre.!°® Somit ist man verfassungsrecht- 
lich zumindest prima facie gewillt, für Unternehmen ein unternehmensbezogenes 
Persönlichkeitsrecht herauszubilden, sei es aus Art. 12 Abs. 1, 14 Abs. 1 oder 2 
Abs. 1 GG. 


Diese oberflächliche Übereinstimmung der Ansichten in der Literatur kann je- 
doch nicht ausreichen, um die Thematik des Unternehmenspersönlichkeitsrechts 
auch in der Tiefe aufzufangen. Die formelhafte Begrenzung auf persönlichkeits- 
rechtliche Aspekte des Art. 2 Abs. 1 GG muss schon aus definitorischen Gründen 
um die zivilrechtlichen Stimmen aus Rechtsprechung und Literatur erweitert wer- 
den, die das Unternehmenspersönlichkeitsrecht weitaus umfassender im Rahmen 
des § 823 Abs. 1 BGB betrachten. Anfangs scheint die dogmatische Einordnung 
des Unternehmenspersönlichkeitsrechts nach Ansicht des BGH unproblematisch. 
In stetiger Rechtsprechung sind persönlichkeitsrechtliche Ausprägungen bei der 
Fassung des Schutzbereiches qua Abwägung herausgebildet worden, jedoch be- 
schränkt auf bloßen Funktionsschutz.!” Eine genaue, dogmatisch saubere Zu- 
ordnung wurde aber kaum vorgenommen, weshalb sie in der (zivilrechtlichen) 
Literatur fortan diferriert. Einerseits soll das Unternehmenspersönlichkeitsrecht 


1007 BVerfGE 148, 40 (63, Rn. 62). Ebenso Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 
MI, Rn. 103. Differenzierend dagegen Wilms/Roth, JuS 2004, 577 (579). 

1008 Neben Koreng, GRUR 2010, 1065 (1067 ff, 1069) ebenso Brauer, Das Persönlichkeitsrecht 
der juristischen Person, S. 40, 42 ff. Zu den einzelnen Rechtspositionen unter Befürworten 
einer Unternehmenspersönlichkeit Prinz in: Fezer/Büscher/Obergfell, UWG, S 7, Rn. 93 ff; 
von Lilienfeld-Toal, Das allgemeine Persönlichkeitsrecht juristischer Personen des Zivilrechts, 
S. 58 ff; Klippel, JZ 1988, 625 (631 ff). 

1009 BGH NJW 2008, 2110 (2111, Rn. 7 sowie 2112, Rn. 12) — Gen-Milch; BGHZ 166, 84 (111 
ff, Rn. 106 ff) — Deutsche Bank AG; NJW 2005, 2766 (2769 f) — Angedrohter Pressebericht; 
NJW 1994, 1281 (1282) — Jahresabschluss; BGHZ 98, 94 (95 f) - BMW; BGHZ 81, 75 (77 
f) - Carrera; BGHZ 78, 24 (25 f) — Medizin-Syndikat I; NJW 1975, 1882 (1884) — Geist von 
Oberzell. 
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aus dem (verfassungsrechtlichen) Allgemeinen Persönlichkeitsrecht gem. Art. 2 
Abs. 1 iVm 1 Abs. 1 GG abgeleitet werden, jedoch — so auch hier — ohne den 
Menschenwürde-Aspekt des Art. 1 Abs. 1 GG. Damit reduziert sich die Herleitung 
auf ein Durchwirken des Art. 2 Abs. 1 GG in die Generalklausel des $ 823 Abs. 1 
GG.!°!0 Andererseits wird vorgeschlagen, das Unternehmenspersönlichkeitsrecht 
aus Wesen und Interessen der juristischen Person!?!!, ihrem sozialen Geltungs- 
anspruch als Parallele zu Art. 1 Abs. 1 GG!"'? oder dem „Geist der Gründer‘!%? 
herzuleiten. Von diesem Standpunkt entfernter wird die Unternehmenspersön- 
lichkeit der Fallgruppe des Rechts am Unternehmen bzw. am eingerichteten und 
ausgeübten Gewerbebetrieb untergeordnet; es bedürfe keiner weiteren General- 
klausel. 10!4 


Mithin sind sich die zivilrechtlichen Stimmen über einen positiven Schutz einig, 
scheitern aber an der dogmatisch nachvollziehbaren Begründung. So ist unge- 
wiss, ob der Schutz eher dem vermögensrechtlichen Standpunkt des Rechts am 
Unternehmen in seiner Gesamtheit oder dem durch das unternehmerische Han- 
deln in der Öffentlichkeit erzeugte Persönlichkeitsbild zuzurechnen ist. Zudem 
wird die einwandfreie Einordnung in beiden Disziplinen dadurch erschwert, dass 
ein Loslösen beider Richtungen voneinander kaum möglich ist. Denklogisch- 
kausal kann ein Schaden der Unternehmenspersönlichkeit und der Reputation 
sich auf das Unternehmen in seiner vermögensrechtlichen Gestalt auswirken, und 
umgekehrt. Dennoch hat der BGH sich dafür entschieden, das unternehmensbe- 
zogene Persönlichkeitsrecht als eigenständiges Schutzgut des § 823 Abs. 1 BGB 


1010 Leßmann, AcP 170 (1970), Wilms/Roth, JuS 2004, 577 (578). Vgl. auch BVerfGE 95, 220 
(242); 106, 28 (43 f). 

1011 Gierke, Das Wesen der menschlichen Verbände, S. 10 f, 12; Klippel, JZ 1988, 625 (629 
f): „Verbandspersönlichkeitsrecht“; Westermann, Steht der Genossenschaft das „Allgemeine 
Persönlichkeitsrecht“ zu?, S. 345 (352 f): Eigenart als Kulminationspunkt des Menschlichen; 
Kraft, FS Hubmann, S. 201 (217 f). 

1012 So Wronka, Das Persönlichkeitsrecht juristischer Personen, S. 98, 104 f. Selbigen aus Art. 2 
Abs. 1, 12 Abs. 1, 19 Abs. 3 GG folgernd Ziegelmayer, GRUR 2012, 761 (762). Lediglich 
erwähnend Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 M, Rn. 103. 

1013 Hubmann, Persönlichkeitsrecht, S. 333, allerdings differenzierend nach wesensmäßiger An- 
wendbarkeit. 

1014 Quante, Das allgemeine Persönlichkeitsrecht juristischer Personen, S. 128 ff; vgl. Peifer, Indi- 
vidualität im Zivilrecht, S. 470. 
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herauszubilden; es steht damit neben dem Recht am Unternehmen bzw. am ein- 
gerichteten und ausgeübten Gewerbebetrieb. !?!5 Die Abgrenzung der (zivilrecht- 
lichen) Schutzbereiche wird dabei anhand einer Abwägung der konfligierenden 


Interessen im Einzelfall!0!0 


vorgenommen, sodass neben jeweiligen Interessen 
auch objektive Faktoren wie die Rechtsform des Unternehmens einzubeziehen 
wären!0!7. Ebenso ist das Rangverhältnis der beiden Generalklauseln einzubezie- 
hen; das Unternehmenspersönlichkeitsrecht genießt grundsätzlich Vorrang.!0!8 
Ein vollständiges Loslösen geschieht folglich nicht auf abstrakter Ebene, sondern 


ausschließlich kontextbezogen. 


Schlussendlich soll es gelingen, die Argumentationsstruktur des Zivilrechts auf 
die verfassungsrechtlichen Schutzgüter zu übertragen und einen sowohl dogma- 
tisch als auch für die weitere Betrachtung sinnvollen Maßstab zu entwickeln. 
Dass das zivilrechtliche und verfassungsrechtliche Persönlichkeitsrecht in der Sa- 
che zu unterscheiden sind!®!?, steht diesem Vorhaben nicht entgegen. In beiden 
rechtswissenschaftlichen Disziplinen pendelt die materielle Einordnung des Un- 
ternehmenspersönlichkeitsrechts zwischen einer vermögensrechtlichen - Art. 14 
GG - und persönlichkeitsrechtlichen bzw. privatautonomen - Art. 2 Abs. 1 ohne 
1 Abs. 1 GG!”®, nach Gostomzyk auch iVm Art. 12 Abs. 1 GG!”! - Grundla- 
ge, die ohnehin durch den BGH fallgruppenspezifisch bestimmt wird. Als erster 
Schritt muss vor dem Hintergrund der aufgezeigten — und wohl erfolglosen — 


1015 BGH NJW 2008, 2110 (2112, Rn. 12). 

1016 Vgl. BGH NJW 2008, 2110 (2112, Rn. 12); BGHZ 45, 296 (307); 65, 325 (331); 138, 311 
(318); 166, 84 (109); Wagner in: Säcker etal., MüKo BGB, Bd. VI, $ 823, Rn. 370 f, Hub- 
mann, Persönlichkeitsrecht, S. 159 ff. 

1017 Zum rechtsformabhängigen Schutzumfang ausführlich von Lilienfeld-Toal, Das allgemeine Per- 
sönlichkeitsrecht juristischer Personen des Zivilrechts, S. 118 ff. 

1018 Hierzu Prinz in: Fezer/Büscher/Obergfell, UWG, S 7, Rn. 105. 

1019 Siehe nur BVerfGE 34, 269 (280 f) worin die Differenzierung deutlich gemacht wird. Das 
zivilrechtliche Persönlichkeitsrecht stellt nur eine konkretisierte Form verfassungsgerichtlicher 
Rechtsprechung dar, die sich durch Generalklauseln anhand von Fallgruppen manifestiert. 
Ebenso Murswiek/Rixen in: Sachs, GG, Art. 2, Rn. 67. 

1020 von Lilienfeld-Toal, Das allgemeine Persönlichkeitsrecht juristischer Personen des Zivilrechts, 
S. 132 f; Korneeva, Das Persönlichkeitsrecht des Unternehmens, S. 120 f. Zur wirtschaftlichen 
Handlungsfreiheit siehe nur BVerfG NJW 1994, 1784 (1784). 

1021 Siehe Gostomzyk, NJW 2008, 2082 (2084); Ziegelmayer, GRUR 2012, 761 (762); Söder in: 
Gersdorf/Paal, BeckOK InfoMedienR, $ 823 BGB, Rn. 83. 
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Suche einer dogmatischen Einordnung des Unternehmenspersönlichkeitsrechts 
von einer absoluten Einordnung abgerückt werden. Hierfür spricht zunächst, dass 
das Unternehmenspersönlichkeitsrecht zunächst nicht als „Wunderwaffe“ dienen 
soll!”?, Ziel dieser neuen Ausformung ist genauer, trotz bestehender einfach- 
gesetzlicher Regelungen auch den Schutz des Unternehmens gegenüber neuen 
Gefahren reflektieren und im Rahmen von (zivilrechtlichen) Generalklauseln ab- 
bilden zu können.'%3 Selbige Auffangfunktion ist bereits für natürliche Personen 
durch die persönlichkeitsrechtliche Rechtsprechung des BGH und letztlich auch 
des BVerfG etabliert worden. Demgemäß könnte auch die einzelfallbezogene Be- 
stimmung des unternehmensbezogen anzuwendenden Grundrechts ähnlich der 
Vorgehensweise des BGH angewandt werden. Dazu bedarf es nicht der Abwä- 
gung einzelner Grundrechtsgüter im Vorfeld der Schutzbereichsprüfung, sondern 
vielmehr einer wertenden Gesamtbetrachtung.'®* Eine ganz ähnliche, rechtsgü- 
terbezogene Betrachtung in Form eines Ausschlussverfahrens wurde durch das 
Bundesverfassungsgericht stets bei der Prüfung der Grundrechte zum Schutz vor 
invasiven Datenerhebungen (Stichwort: Online-Durchsuchung) bei der Abstufung 
von Art. 13 Abs. 1, 10 Abs. 1 sowie 2 Abs. 1 iVm 1 Abs. 1 GG vorgenommen. 105 
Zweitens ist es erforderlich, für den ersten Schritt grundlegend von einer Selbst- 
ständigkeit der einzelnen Grundrechte bzw. relevanten persönlichkeitsrechtlichen 
Ausprägungen des Art. 2 Abs. 1 iVm 1 Abs. 1 GG auszugehen. Wie bereits 
dargelegt, sind das Grundrecht auf informationelle Selbstbestimmung und das 
GGVIS als eigenständige Grundrechte zu begreifen.'”° Vor dem aufgezeigten 
Hintergrund ist diese Verselbständigung, soweit es sich um ausreichend etablierte 
Grundrechte handelt, auch auf weitere Aspekte des Art. 2 Abs. 1 iVm 1 Abs. 1 GG 
auszuweiten.'”” Auf diese Weise werden mögliche Probleme bei überlappenden 


1022 Gostomzyk, NJW 2008, 2082 (2084). 

1023 Vgl. Westermann, Steht der Genossenschaft das „Allgemeine Persönlichkeitsrecht“ zu?, S. 345 
(345). 

1024 Vgl. hierzu ausführlich Hubmann, Persönlichkeitsrecht, S. 159 ff. 

1025 Siehe BVerfGE 120, 274 (302 ff). 

1026 Siehe D.1.1.a). 

1027 Brauer, Das Persönlichkeitsrecht der juristischen Person, S. 27; vgl. auch Hubmann, Persön- 
lichkeitsrecht, S. 173 f, welcher das Allgemeine Persönlichkeitsrecht als „Muttergrundrecht“ 
bezeichnet. Ablehnend dagegen Koreng, GRUR 2010, 1065 (1068). 
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Schutzbereichen vermieden; ein durch Fallgruppen begünstigtes Entstehen von 
Rangverhältnissen gelingt dogmatisch sauberer. Andernfalls stünde das expressis 
verbis bloß allgemeine Persönlichkeitsrecht mit eigenen Topoi nicht als selbststän- 
diges „Muttergrundrecht“, sondern nur als Gefäß für spezifische Fallgruppen zur 
Anwendung. Mit Blick auf die initiale Rechtsprechung des Bundesverfassungsge- 


Pi . 
1028 Nur so wird 


richts zur Sphärentheorie kann dem jedoch nicht zu folgen sein. 
auch dem Wesen des allgemeinen Persönlichkeitsrechts entsprochen. !?” Drittens 
liegt der Grundstein des (zwei- bzw. mehrseitigen) Unternehmenspersönlichkeits- 
rechts bereits in Art. 2 Abs. 1 GG verankert, weshalb diesem eine Auffangfunktion 
zukommt. Schließlich schützt er sowohl die zulässigen persönlichkeitsrechtlichen 
Aspekte für juristische Personen iSd Art. 19 Abs. 3 GG als auch die unabhän- 
gig des Persönlichkeitsrechts zu schützende wirtschaftliche Handlungsfreiheit. 1030 
Welche Lesart anzuwenden gilt ist schließlich einzelfallbezogen im Rahmen der 


Schutzbereichsprüfung zu ermitteln. 


Im Fortgang sind damit die benannten Grundrechte als Dreiklang zu begreifen, 
die gemeinsam das Unternehmenspersönlichkeitsrecht sowohl in seiner vermö- 
genswerten als auch informationellen Gestalt abbilden. Dazu werden sie jeweils in 
ihrer unternehmensbezogenen Schutzrichtung vertieft und in Bezug zur digitalen 
Identität gesetzt. 


b) Berufsfreiheit, Art. 12 GG 


Der Berufsfreiheit des Art. 12 Abs. 1 GG kommt schon ihrem Wesen nach für 
Juristische Personen iSd Art. 19 Abs. 3 GG eine fundamentgebende Rolle zu. Ihre 
wesensmäßige Anwendbarkeit auf unternehmerische Sachverhalte ist nach ganz 


1028 BVerfGE 27, 1 (6); 27, 344 (350 ff); 33, 367 (376 f); 49, 286 (298); 54, 148 (153 f mwN); 101, 
361 (382); 120, 180 (199). 

1029 Hierzu Brauer, Das Persönlichkeitsrecht der juristischen Person, S. 27. 

1030 Zu diesem Zirkelschluss Meissner, Persönlichkeitsschutz juristischer Personen im deutschen 
und US-amerikanischen Recht, S. 47. 
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1031 


h.M. gegeben ""', weshalb sich die weitere Betrachtung in der Art und Weise des 


grundrechtlichen Schutzes erschöpft. Die „Unternehmerfreiheit“!®2 bzw. „Un- 


«1033 ist damit ebenso weit und offen definiert in Berufswahl 


ternehmensfreiheit 
und -ausübung. Der Bereich der Berufswahl erscheint jedoch faktisch mangels 
höchstpersönlichem Charakter!%* kaum beachtenswert. Einzig die Komponente 
der Berufswahl könnte als Berufsfeldwahl verstanden werden. Sodann gilt das 
schon natürlichen Personen zuerkannte Berufserfindungsrecht!®5 auch korpora- 
tiv, wenn mit neuen Branchen zugleich neue Berufsbilder erschlossen werden. Die 
demgemäß im Fokus stehende Berufsausübungsfreiheit ist entsprechend vielge- 


1036 iber die 


staltig; sie reicht von der Wahl der Rechtsform eines Unternehmens 
wirtschaftliche Betätigung und Leitung!” bis hin zur Außendarstellung'®® und 
dem Geschäfts- und Betriebsgeheimnisschutz!®°. Sie schützt also „jede Tätigkeit, 


die mit der Berufsausübung zusammenhängt und dieser dient“!% 


, „soweit diese 
Tätigkeit ihrem Wesen und ihrer Art nach in gleicher Weise von einer juristi- 
schen wie von einer natürlichen Person ausgeübt werden kann.“!%*! In Hinblick 


auf den Lebenszyklus der digitalen Identität einer juristischen Person, welcher 


1031 StRspr seit BVerfGE 21, 261 (266), siehe auch 30, 292 (312); 50, 290 (363 f); 65, 196 
(210); 74, 129 (148); 95, 173 (181); 105, 262 (265); 106, 275 (298); 115, 205 (229); 134, 
204 (222); 135, 90 (109 f); 148, 40 (50 f, Rn. 26 f). Stern, StaatsR IV/1, S. 1832 sowie 
Stern, StaatsR IIV1, S. 1126 f; Schneider in: Merten/Papier, HGr V, $ 113, Rn. 49; Manssen in: 
von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 12, Rn. 268; Mann in: Sachs, GG, 
Art. 12, Rn. 37; Scholz in: Maunz/Dürig, GG-Kommentar, Art. 12, Rn. 106 aE; Ruffert in: 
Epping/Hillgruber, BeckOK GG, Art. 12, Rn. 38; Bethge, Grundrechtsberechtigung juristischer 
Personen, S. 37. 

1032 So BVerfGE 50, 290 (363). 

1033 Hierzu Stern, StaatsR IV/1, S. 1819 ff. 

1034 Vgl. BVerfGE 21, 201 (232). 

1035 Stern, StaatsR IV/1, S. 1788; Scholz in: Maunz/Dürig, GG-Kommentar, Art. 12, Rn. 276; 
Schneider in: Merten/Papier, HGr V, $ 113, Rn. 57. 

1036 BVerfGE 21, 227 (232). 

1037 Vgl. BVerfGE 50, 290 (363). 

1038 BVerfGE 85, 97 (104); 85, 248 (256); 94, 372 (389); 105, 252 (266); 106, 181 (192); 112, 255 
(262); 148, 40 (50 ff, Rn. 27 f). 

1039 Grundlegend BVerfGE 115, 205 (230 ff). 

1040 StRspr BVerfGE 85, 248 (256); 94, 372 (389). Als Teilfreiheiten aufschlüsselnd Mann in: 
Sachs, GG, Art. 12, Rn. 79. 

1041 StRspr BVerfGE 21, 261 (266); 22, 380 (383); 30, 292 (312); 50, 290 (363); 65, 196 (209 f); 
74, 129 (148 f); 105, 252 (265); 148, 40 (50). 
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1042 1043 


ebenso“ in der Erschaffung‘“”, Ausgestaltung und ggf. Auflösung selbiger be- 
steht, erscheint der Schutzbereich zunächst eröffnet. Seine weite Formulierung 
schließt auch der Digitalisierung entspringende, neue Betätigungsfelder ein; er ist 
technologieneutral. Hierfür spricht auch das erwähnte Berufserfindungsrecht. Der 


Schutz des Art. 12 Abs. 1 GG ist damit per se eröffnet. 


Die vollumfängliche, digitale Betrachtung der unternehmerischen Betätigungs- 
freiheit des Art. 12 Abs. 1 GG lässt entsprechend weite Spielräume, wobei nach- 
folgend zwei Aspekte en détail zu betrachten sind: Die Außendarstellung sowie 
das Geheimnisschutzinteresse des Unternehmens. 


Der Aspekt der Außendarstellung des Unternehmens ist nach einhelliger An- 
sicht Teil der Berufsausübungsfreiheit des Art. 12 Abs. 1 GG.!” Gemäß der 
bereits erwähnten Formel der Berufsausübung schließt dies auch jede Tätigkeit 
ein, die unmittelbar oder mittelbar mit der Außendarstellung zusammenhängt. 
Einzig im Glykol-Urteil des Bundesverfassungsgerichts tritt die verbraucherbe- 
zogene Außendarstellung hervor: „Ein am Markt tätiges Unternehmen setzt sich 
der Kommunikation und damit auch der Kritik der Qualität seiner Produkte oder 
seines Verhaltens aus. [...] In den Schutz der Berufsausübungsfreiheit ist nämlich 
die auf die Förderung des beruflichen Erfolgs eines Unternehmens gerichtete Au- 
Bendarstellung einschließlich der Werbung für das Unternehmen oder für dessen 
Produkte eingeschlossen“.!® Der weite Schutzumfang der Berufsfreiheit setzt 
sich folglich auch in diesem Aspekt fort, bezieht also die qua Digitalisierung 
entstehenden (und entstandenen) Möglichkeiten der Präsentation eines Unterneh- 
mens ein. Insofern ist die digitale Identität als Instrument bzw. Parser zwischen 
der internen Unternehmenskommunikation und der externen Wahrnehmung durch 
die Öffentlichkeit faktisch als auch in seinen Details umfasst. Dies ist jedoch, wie 


1042 Zum Lebenszyklus der digitalen Identität einer natürlichen Person siehe B.I. 

1043 Eine Parallele zur Koalitionsfreiheit des Art. 9 Abs. 1 GG findet sich hingegen nicht, da in der 
Ausdefinierung einer nicht-rechtsfähigen Persönlichkeit schon kein Gründungsakt liegen kann. 
Darüber hinaus existiert keine geeignete Rechtsform, unter den die Handlung zu subsumieren 
wäre. Gegenüber Art. 12 Abs. 1 GG ist Art. 9 Abs. 1 GG formaler Natur — so Baumann, BB 
1997, 2281 (2285). 

1044 Siehe Fn. 1038. 

1045 BVerfGE 105, 252 (266). 
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sogleich!0# erläutert wird, im Kern iSe status positivus bzw. status activus zu 
begreifen. Als status negativus muss stets zwischen dem materiellen Gehalt (z.B. 
Reputation) und der bloßen Ausgestaltung der Unternehmenspersönlichkeit dif- 
ferenziert werden. Artikel 12 Abs. 1 GG schützt lediglich letzteres. 104 


Der Aspekt des verfassungsrechtlichen Schutzes von Betriebs- und Geschäftsge- 
heimnissen stellt sich dagegen hinsichtlich der grundrechtlichen Verortung diffizil 
dar: Herrschend ist bis zuletzt die Ansicht, dass derartige Interessen sowohl dem 
Schutz des Art. 12 Abs. 1 als auch des Art. 14 I GG unterliegen; „[e]in Schutz von 
Betriebs- und Geschäftsgeheimnissen durch Art. 14 Abs. 1 GG geht jedenfalls 
nicht weiter als der durch Art. 12 Abs. 1 GG“!##.199 Die Ansicht des BVerwG 
scheint dagegen zunächst auf einem älteren Urteil des BVerfG!" zu fußen, da 
sie das unternehmerische Geheimhaltungsinteresse stets in der wirtschaftlichen 
Handlungsfreiheit des Art. 2 Abs. 1 GG verortet.'”' In Entscheidungen jünge- 
ren Datums hat sich das BVerwG allerdings ebenso der herrschenden Ansicht 
angeschlossen und geht von einem Schutz durch Art. 12 und 14 GG aus.!5? Dem- 
gegenüber wird in der rechtswissenschaftlichen Literatur vereinzelt der Schutz 


n1053 1054 in der wettbewerblichen 


ausschließlic oder zumindest schwerpunktmäßig 
Komponente des Art. 12 GG gesucht. Derlei Ansichten übersehen allerdings die 
Ambivalenz eines Eingriffs in das Geheimhaltungsinteresse des Unternehmens. 
Gemäß der herrschenden Ansicht ist daher nicht einwandfrei zu entscheiden, ob 


Art. 12 Abs. 1 oder 14 Abs. 1 GG einschlägig ist, sondern anhand des Eingriffs und 


1046 Sub D.1.2.d). 

1047 Vgl. BVerfGE 148, 40 (50, Rn. 27; 53, Rn. 34): kein Anspruch auf Sicherung der Reputation. 

1048 BVerfGE 115, 205 (248). Vgl. auch Beschl. v. 12.10.1989 — 1 BvR 1347/88; 30, 292 (174). 

1049 So auch Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2 I, Rn. 172; Kloepfer/ Greve, NVwZ 
2011, 577 (579). 

1050 BVerfG, Beschl. v. 12.10.1989 — 1 BvR 1347/88 —, Rn. 27 f nach juris. 

1051 BVerwGE 30, 191 (198); 60, 154 (158 f); 65, 167 (174). Mittelbar da auf Schaden an Wettbe- 
werbsposition beschränkend BVerwG, Urt. vom 28.05.2009 — 7 C 18/08 —, Rn. 14 nach juris. 
Ausführlich hierzu Stern, StaatsR IV/1, S. 898 ff. 

1052 BVerwG, Beschl. v. 19.1.2009 — 20 F 23/07 —, Rn. 11 nach juris = NVwZ 2009, 1114 (1116); 
Beschl. v. 8.2.2011 - 20 F 13/10 -, Rn. 16 nach juris; E 150, 383 (Rn. 28); E 151, 341 (Rn. 41). 

1053 Wolff, NIW 1997, 98 (100 f). 

1054 Stern, StaatsR IV/1, S. 1822 f. 
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der Folgen das Grundrechtsgut — wie bereits zum Dreiklang der Unternehmens- 
persönlichkeit!®> erläutert — zu ermitteln. Insofern ist die Wettbewerbsfreiheit 
des Art. 12 Abs. 1 GG (ggf. iVm Art. 3 Abs. 1 GG) iSe aktiven und freien Teil- 
nahme vom vermögenswerten Gehalt eines Betriebs- und Geschäftsgeheimnisses 
gem. Art. 14 Abs. 1 GG zu unterscheiden.!®° Dabei soll der offener definierte 
Schutz der Berufsfreiheit den Schutz des Art. 14 Abs. 1 GG nicht aushöhlen. !057 
Zwangsläufig führt die Kombination beider Grundrechte aber zu einem flexibleren 
bzw. materiell breiteren Grundrechtsschutz, bei dem sich die Güter des Art. 12 
und 14 GG bloß teilweise überdecken. Ein Erweitern dieser zwei Horizonte um 
die (subsidiäre)'®® wirtschaftliche Handlungsfreiheit des Art. 2 Abs. 1 GG trägt 
wohl nur gering zum Schutzumfang bei, stützt beispielsweise iSd Theorie von 
Gostomzyk den Wettbewerbsaspekt des Art. 12 Abs. 1 GG.!®? In der Summe 
ergibt sich damit keine andere Position. Vor dem Hintergrund des eingangs dar- 
gestellten Trias verfassungsrechtlicher Schutzgüter mit Unternehmensbezug passt 
sich der mehrseitige Schutz von Betriebs- und Geschäftsgeheimnissen ein. 


Nunmehr bleibt die digitale Identität eines Unternehmens in den vorangehend 
erläuterten Kontext einzuordnen. Obschon die dargelegten Ansichten sich abseits 
einer Legaldefinition entwickelt haben! ist sich nach der mit dem Geschäfts- 
geheimnisgesetz (GeschGehG) am 24.4.2019 in Kraft getretenen Definition des 
Betriebs- und Geschäftsgeheimnisses zu richten. Gemäß $ 2 Nr. 1 GeschGehG 
bedarf es einer ausreichend gesicherten und der Öffentlichkeit unzugänglichen 


bzw. nur bestimmten Personen zugänglichen Information, an der ein berechtigtes 


1055 Sub D.1.2.a). 

1056 Bullinger, NIW 1978, 2173 (2176); Wolf, Der Schutz des Betriebs- und Geschäftsgeheimnisses, 
S. 126 ff, 82 f. Vgl. auch Stern, StaatsR IV/1, S. 1928 f, allgemein postulierend BVerfGE 30, 
292 (335). 

1057 Vgl. BVerfGE 115, 205 (248). 

1058 Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2 I, Rn. 172. 

1059 Vgl. Mann in: Sachs, GG, Art. 12, Rn. 194 unter Hinweis auf die stetig hilfsweise Anwendung 
des Art. 2 Abs. 1 ggü. 12 Abs. 1 GG durch das BVerfG mwN in Fn. 611; Axer, FS Isensee 
(2002), S. 121 (121 f). 

1060 Zuvor wurde der Geheimnisbegriff im Rahmen der stetigen Rechtsprechung zu § 17 UWG 
ausdefiniert, siehe nur BGH GRUR 2018, 1161 (Rn. 28) mwN. Im Detail hierzu Gennen in: 
Conrad/Grützmacher, Recht der Daten und Datenbanken im Unternehmen, § 13, Rn. 12 ff. 
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Interesse an der Geheimhaltung besteht. Die einstige Trennung zwischen dem 
wissensbezogenen Geschäftsgeheimnis- und dem technik- und produktbezogenen 
Betriebsgeheimnisbegriff!%! ist aufgrund ihrer mangelnden Praxisrelevanz aufge- 
löst worden.'!06 Die gemeinsame, offene und relativ zu bestimmende!0% Fassung 
benennt nun auch expressis verbis den fiktiven Wert einer Information; es bedarf 
(„nach wie vor“!06*) keiner tatsächlichen Wertstellung. Vielmehr entsteht der Wert 
durch die tatsächliche und durch Vorkehrungen (z.B. Verschwiegenheitsklauseln) 
gesicherte Geheimhaltung, $ 2 Nr. 1 GeschGehG: „daher“. !065 Insofern indiziert 
die Auflösung der Geheimhaltung den potentiellen (wirtschaftlichen) Wissensvor- 
sprung eines Mitbewerbers nach Aufdecken des Unternehmensgeheimnisses.!0%6 
Dies ist mit Blick auf den Schutz der unternehmerischen digitalen Identität inso- 
weit nützlich, als dass auch „belanglose‘“ unternehmensbezogene Informationen 
geschützt wären. Das Kriterium des Unternehmensbezugs lässt sich verfassungs- 
rechtlich allenfalls aus dem Kriterium der berufsregelnden Tendenz des Art. 12 
Abs. 1 GG folgern!%’, wenn auch selbiges mit Fassung des GeschGehG fallen 
gelassen wurde.!06® Der Schutz der Inhalte der digitalen Identität erstreckt sich 
damit primär ausschließlich auf Interna, beispielsweise geplante Postings oder 
interne Maßstäbe für die Öffentlichkeitsarbeit und -kommunikation. Diese sind 
aufgrund ihrer Natur zwar teilöffentlich, was dem Schutz allerdings nicht ab- 
träglich ist.!%° Er erstreckt sich auf strategisch wertvolle Güter für Wettbewerb 


1061 BVerfGE 115, 205 (230). 

1062 So Ohly, GRUR 2019, 441 (442). 

1063 Ohly, GRUR 2019, 441 (443). 

1064 So Dann/Markgraf, NIW 2019, 1774 (1775). 

1065 Ausführlich Ohly, GRUR 2019, 441 (443); Schuster, CR 2020, 726 (727). 

1066 Vgl. Wolf, Der Schutz des Betriebs- und Geschäftsgeheimnisses, S. 128 ff. 

1067 Vgl. BVerfGE 97, 228 (254): „Art. 12 Abs. 1 GG entfaltet seine Schutzwirkung vielmehr nur 
gegenüber solchen Normen oder Akten, die sich entweder unmittelbar auf die Berufstätigkeit 
beziehen oder die zumindest eine objektiv berufsregelnde Tendenz haben.“ - so stRspr E 95, 276 
(302); 98, 218 (258). In der Folge erfordert auch die Schutzrichtung einen Unternehmensbezug, 
um eine Abgrenzung gegenüber anderen Grundrechten (z.B. Art. 5 Abs. 1 S. 2 oder 2 Abs. 1 
GG) zu ermöglichen. Vgl. Unternehmensbezug als Abgrenzungskriterium Di Fabio in: Maunz/ 
Dürig, GG-Kommentar, Art. 2, Rn. 224. 

1068 Zum früheren Kriterium siehe Schnabel, CR 2016, 342 (343). Zur nunmehr relevanten Proble- 
matik der Mischung von persönlichen und unternehmensbezogenen Informationen Ohly, GRUR 
2019, 441 (443). 

1069 Vgl. Drexl etal., GRUR Int. 2016, 914 (916 f, insbes. Rn. 25). 
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(Facette des Art. 12 Abs. 1 GG) und Reputation (Facette des Art. 14 Abs. 1 GG). 
Diese können bei entsprechender Verwendung wettbewerbs- wie unternehmens- 
schädigend wirken.!”® Folglich reicht diese Schutzrichtung nur für die „innere“ 
digitale Identität, wobei der genaue Schutzgegenstand kontextbezogen ermittelt 
werden muss. 


Der unternehmensbezogene Schutz der Berufsfreiheit gem. Art. 12 Abs. 1 GG 
schließt die digitale Identität folglich nur als Mittel der Repräsentation ein, nicht 
aber in seinem informationellen Gehalt. Ähnlich oberflächlich erweist sich der 
Schutz im Rahmen von Betriebs- und Geschäftsgeheimnissen über Art. 12 Abs. 1 
GG. Persönlichkeitsrechtliche Aspekte der digitalen Identität juristischer Personen 
finden hingegen kaum bzw. nur mittelbaren Schutz. 


c) Der Gewerbebetrieb des Art. 14 Abs. 1 GG 


Schon aufgrund seiner Verflechtung mit Art. 12 Abs. 1 GG ist der Schutzbereich 
des Art. 14 Abs. 1 GG in die Betrachtung einzubeziehen. Im Unternehmenskon- 
text des Art. 19 Abs. 3 GG''”! nimmt die (bereits dargestellte!”?) Eigentumsfrei- 


heit wenig Raum ein!” 


, sondern weicht dem qua Rechtsprechung ausgeformten 
Recht am eingerichteten und ausgeübten Gewerbebetrieb. Der eigentliche Gehalt 
dieses Aspekts einschließlich seiner definitiven Anerkennung als Schutzobjekt 


des Art. 14 Abs. 1 GG ist jedoch fast ausschließlich durch die zivilrechtliche 


1070 BT-Drs. 19/4724, S. 24 unter Verweis auf RL (EU) 2016/943, ErwGr 14. Vgl. auch Ohly, GRUR 
2019, 441 (443); Schnabel, CR 2016, 342 (346); Kloepfer/ Greve, NVwZ 2011, 577 (579) mwN. 

1071 Ganz h.M. - BVerfGE 4, 7 (12, 17); 23, 153 (163); 35, 348 (360); 53, 336 (345); 66, 116 (130); 
126, 112 (135 f); 143, 246 (312, Rn. 182). Leisner in: Isensee/Kirchhof, HStR VIII, $ 173, Rn. 
33; Stern, StaatsR IV/1, S. 2215 f sowie Stern, StaatsR IN/1, S. 1127; Depenheuer/Froese in: 
von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 189; Wendt in: Sachs, GG, 
Art. 14, Rn. 16. 

1072 In Bezug auf die digitale Identität natürlicher Personen sub D.1.1.d). 

1073 Dies ist ebenso auf den engen isolierten Anwendungsbereich der unternehmerischen Eigen- 
tumsgarantie zurückzuführen: Für eine diesbezügliche Prüfung bedürfte es einer eigenständigen 
Rechtsstellung der Elemente der (unternehmensbezogenen) digitalen Identität. Da es bereits an 
dieser für natürliche Personen mangelt, lässt sich diese nur schwerlich bei juristischen Per- 
sonen iSd Art. 19 Abs. 3 GG erkennen. Von einer Prüfung als vermögenswertes Recht des 
Unternehmens wird daher abgesehen. 
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Rechtsprechung des BGH erfolgt.!””* Das BVerfG hält sich, bis auf wenige bestä- 
tigende Urteile, bis dato zurück und lässt die Frage offen, „ob - eigentumsrechtlich 
gesehen — das Unternehmen [nur] eine tatsächliche, nicht aber eine rechtliche Zu- 
sammenfassung der zu seinem Vermögen gehörenden Sachen und Rechte ist, 
die an sich schon vor verfassungsrechtlichen Eingriffen geschützt ist.“1%5 Die 


daher bestehenden, aus dem Wortlaut einiger verfassungsrechtlicher Urteile her- 


1076 


ausgelesenen Zweifel an der Rechtsfigur “’” sind an dieser Stelle jedoch nicht zu 


vertiefen. Stattdessen ist sich den befürwortenden Stimmen des Rechts am ein- 


1077 


gerichteten und ausgeübten Gewerbebetrieb anzuschließen’ respektive auf die 


Notwendigkeit mit Blick auf den Schutz der Unternehmenspersönlichkeit hinzu- 


weisen!?’®. Das damit in der Eigentumsfreiheit aufgehende und weitreichende!” 


Schutzgut erweitert schließlich den unternehmerischen Eigentumsschutz um tat- 


1080 


sächlich bestehende, wertbestimmende Faktoren — beispielsweise einzelne 


eigentumsrechtliche Positionen des Betriebs (Grundstücksrechte, Einrichtungs- 


gegenstände, Anlagen, Wahrenvorräte, etc.), den Kundenstamm, Betriebs- und 


1081 


Geschäftsgeheimnisse!®®! oder auch den Ruf des Unternehmens. !°8? Es umfasst 


1074 BGHZ 23, 157 (162); 45, 150 (154); 48, 58 (60 f); 133, 265 (267). Darüber hinaus BVerwG 
121, 382 (391); 143, 249 (268 f). Umfassend darstellend Kimminich in: Kahl/Waldhoff/ 
Walter, BonnK GG, Art. 14, Rn. 77 ff. 

1075 So Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 
134 unter Verweis auf BVerfGE 51, 193 (221 f); 66, 116 (145); 68, 193 (222 f); 96, 375 (397); 
105, 252 (278); 123, 186 (259); 143, 246 (331, Rn. 240). Überdies 84, 212 (323); 87, 363 
(394). Nur vgl. E 17, 232 (247 f). 

1076 Hierzu im Einzelnen Kimminich in: Kahl/Waldhoff/Walter, BonnK GG, Art. 14, Rn. 79 ff; 
Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 134; 
Stern, StaatsR IV/1, S. 2189 ff, Koreng, GRUR 2010, 1065 (1067); Hagen, GewArch 2005, 
402 (403 f). 

1077 Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 134 
sowie Depenheuer in: Merten/Papier, HGr V, $ 111, Rn. 63 f. Wohl auch Kimminich in: Kahl/ 
Waldhoff/Walter, BonnK GG, Art. 14 GG, Rn. 79 f. 

1078 Siehe hierzu nur Ziegelmayer, GRUR 2012, 761 (762 ff). 

1079 Hierzu Kimminich in: Kahl/Waldhoff/Walter, BonnK GG, Art. 14, Rn. 85. 

1080 Vgl. BVerfGE 74, 129 (148); Friauf!Wendt, Eigentum am Unternehmen, S. 29. 

1081 Ausführlich Wolf, Der Schutz des Betriebs- und Geschäftsgeheimnisses, S. 103 f. Ablehnend 
dagegen Wolff, NIW 1997, 98 (100 f). 

1082 Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 200; Hagen, GewArch 2005, 
402 (406 f). Vgl. auch BGHZ 23, 157 (162 ff). 
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1083 alles das, was in seiner Gesamtheit 


«1084 


iSe methodischen Gesamtbetrachtung 
den wirtschaftlichen Wert des konkreten Betriebes ausmacht — sowohl funk- 
tional als auch organisatorisch!?®5, Der spezifische Mehrwert des Betriebes als 
organische Betriebseinheit geht über die Summe der ohnehin gewährleisteten Ein- 
zelrechte hinaus. !°86 In der Summe reicht er allerdings nicht weiter als der Schutz 


seiner wirtschaftlichen Grundlagen. '®’ 


Eine Subsumtion der digitalen Identität eines Unternehmens bzw. einer juristi- 
schen Person gelingt allerdings auch hier nur partiell. Dazu bedarf es allerdings 
zweier Manifestationen des Eigentumsschutzes, die als Beispiel dienen sollen. 


Bezugnehmend auf den Ansatz, das Unternehmen als Funktions- und Organisa- 
tionseinheit dem Eigentumsbegriff des Art. 14 Abs. 1 GG unterzuordnen, findet 
sich eine durch die Gesetzgebung konkretisierte Form in $$ 453, 433 BGB - dem 
Unternehmenskauf.'0®® Hiernach ist der (Ver-)Kauf eines Unternehmens als be- 
stehende Sach- und Rechtsgesamtheit möglich. Dies meint jedoch nicht die bloße 
Einigung über ein Bündel an Einzelrechten, sondern die vollumfängliche Über- 
tragung von Verfügungs- und Entscheidungsbefugnissen. Ebenso ist „der Verkäu- 
fer neben der Übertragung der übertragbaren Gegenstände verpflichtet [...], den 
Käufer in diesen Komplex von Sachen, Rechten, Pflichten und Immaterialgütern 
einzuweisen“.!0® Ein Unternehmenskauf gem. $$ 453, 433 BGB umfasst also 
auch „Goodwill, Know-how, Geschäftsgeheimnisse, Kundenstamm, Lieferanten- 


«1090 


beziehungen, etc. und damit jene Güter, denen isoliert nicht zwingend ein 


1083 So Hagen, GewArch 2005, 402 (407). 

1084 BVerfGE 13, 225 (229 f); 45, 142 (173). BGHZ 23, 157 (163); 45, 150 (155). 

1085 Vgl. Axer in: Epping/Hillgruber, BeckOK GG, Art. 14, Rn. 52 aE sowie Axer, FS Isensee 
(2002), S. 121 (134 f); Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 200 
aE. 

1086 So Depenheuer/Froese in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 14, Rn. 
133. 

1087 BVerfGE 58, 300 (353); 143, 246 (331, Rn. 240). 

1088 Eine ähnlich ganzheitliche Betrachtung erfolgt gem. $$ 1 ff und $$ 22 ff HGB - so Axer, FS 
Isensee (2002), S. 121 (135) und Hagen, GewArch 2005, 402 (402 f). 

1089 Westermann in: Säcker et al., MüKo BGB, Bd. IV, $ 453 BGB, Rn. 20. 

1090 Faust in: Hau/Poseck, BeckOK BGB, $ 453, Rn. 27; Axer, FS Isensee (2002), S. 121 (134 f); 
Hagen, GewArch 2005, 402 (407 f). Vgl. Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, 
Art. 14, Rn. 204. 
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Vermögenswert zukommt. 1°! 


Gleichermaßen kommt der unternehmensbezoge- 
nen digitalen Identität als Unternehmensbestandteil kein eigener Vermögenswert 
zu. Wie dargestellt, kann dieser aber in Relation mit dem Unternehmen entste- 
hen und wäre im Falle eines Unternehmenskaufes ebenso preisbestimmend'!”., 
Der digitalen Identität eines Unternehmens kommt daher nur als Teil der vermö- 
gensrechtlichen Gesamtbetrachtung entsprechender Schutz zu, der die einzelnen, 
unternehmenspersönlichkeitsrechtlichen Aspekte nicht hinreichend würdigt und 


aufgrund seiner Ausrichtung nicht würdigen kann. 10° 


Im Speziellen könnte dennoch für den Schutz der digitalen Identität als Teil des 
Unternehmenseigentums die Nutzung als Werbeinstrument sprechen, würde die 
Rechtsprechung des „Kontakts nach Außen“ bloß abstrakt berücksichtigt: Gemäß 
zivil-'%4 wie verwaltungsgerichtlicher' Rechtsprechung ist auch die Lage eines 
Unternehmens an der öffentlichen Straße vom Schutzkreis des Art. 14 Abs. 1 GG 
umfasst. „Dieses Recht schützt vor einem völligen Abschneiden vom öffentlichen 
Verkehrsraum sowie in gewissem Grade vor anderen ‚Kontakt-Störungen‘“, bei- 


1096 Kommunikation mit Pas- 


spielsweise das Versagen unternehmensbezogener 
santen wie Werbung durch Lichttransparente oder Hinweis- und Werbeschil- 
der.!"°” Obschon das Internet nicht vom Anlieger- und Gemeingebrauch geprägt 


ist, könnte sich in der Parallelwertung ebenso das unternehmerische Werberecht 


1091 Vgl. Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 206. 

1092 Vgl. Westermann in: Säcker et al., MüKo BGB, Bd. IV, $ 453 BGB, Rn. 20; Leisner in: Isensee/ 
Kirchhof, HStR VII, $ 173, Rn. 26. 

1093 Ähnlich auch Ziegelmayer, GRUR 2012, 761 (763). 

1094 BGHZ 45, 150 (157); 57, 359 (361 f). 

1095 BVerwG NJW 1975, 357; E54, 1 (3). 

1096 Hierzu sei erwähnt, dass in der zivilgerichtlichen Rechtsprechung stets eines betriebsbezogenen 
Eingriffes bedarf. Betroffen ist der Gewerbebetrieb als solcher abseits ablösbarer Rechte, als 
Organismus — BGHZ 29, 65 (74); 193, 227 (Rn. 21); Prinz in: Fezer/Büscher/Obergfell, UWG, 
S 7, Rn. 111; Hagen, GewArch 2005, 402 (402). Der Zweck, „diffuse Schadensbilder auszu- 
klammern“ — so Wagner in: Säcker etal., MüKo BGB, Bd. VI, $ 823 BGB, Rn. 369 -, trifft 
insofern auch auf die Spezifizierung des Grundrechtseingriffs bzw. betroffenen Grundrechts- 
guts zu. Analog zur Berufsbezogenheit des Eingriffs in Art. 12 Abs. 1 GG ist für Eingriffe in 
die Unternehmensfreiheit der entsprechende Unternehmensbezug erforderlich. Ähnlich auch 
BVerfGE 13, 225 (229 f): „[...] so daß grundsätzlich nur ein Eingriff in die Substanz dieser 
Sach- und Rechtsgesamtheit Art. 14 GG verletzen könnte.“ 

1097 Papier/Shirvani in: Maunz/Dürig, GG-Kommentar, Art. 14, Rn. 201 f. 
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an Öffentlich zugänglichen Werbeflächen im digitalen Raum unter das Recht am 
eingerichteten und ausgeübten Gewerbebetrieb subsumieren lassen. Dafür spricht 
zumindest, dass in beiden Fällen ein unternehmerisches Interesse vorliegt und ein 
Verbot dieser Handlungspraxis neben Einschnitten in die unternehmerische Hand- 
lungsfreiheit des Art. 12 Abs. 1 GG auch das vermögensbezogene Recht am einge- 
richteten und ausgeübten Gewerbebetrieb zur Folge hätte. Diesem Aspekt kommt 
aber vor besagtem Art. 12 Abs. 1 GG sowie dem Hintergrund der möglichen 
Inhalts- und Schrankenbestimmung nur geringe Aufmerksamkeit zu. Mithin ist 
die digitale Identität als Mittel der Werbung ‚am digitalen Wegesrand“ nicht eigen- 
ständig geschützt, sondern unter Würdigung erwähnter Rechtsprechung höchstens 
mittelbar. Eingangs aufgezeigte, unternehmenspersönlichkeitsrechtliche Facetten 
würdigt auch dieser Ansatz unzureichend. 


Folglich schützt das Recht am eingerichteten und ausgeübten Gewerbebetrieb des 
Art. 14 Abs. 1 GG die digitale Identität juristischer Personen trotz seiner weiten 
Definition nur unzureichend, was nicht auf die Ausgestaltung der entsprechenden 
Inhalts- und Schrankenbestimmungen zurückzuführen ist. Vielmehr eignet sich 
das Grundrecht per se nicht zum Schutz von Gütern mit Persönlichkeitsbezug. 


d) Grundrechte des Art. 2 Abs. 1 iVm 1 Abs. 1 GG 


Hoffnungsvoll sind daher die aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG bzw. im Unter- 
nehmenskontext lediglich aus Art. 2 Abs. 1 iVm 19 Abs. 3 GG zu folgernden Ein- 
zelrechte in den Blick zu nehmen. Dafür kommen ebensolche Rechte in Betracht, 
die nicht auf dem Menschenwürdekern des ursprünglichen Persönlichkeitsrechts 


aufbauen oder sich zumindest partiell ohne selbige Aspekte anwenden lassen. !® 


1098 BVerfGE 118, 168 (203); vgl. auch 95, 220 (242). Ebenso Stern, StaatsR IV/1, S. 247; Tet- 
finger in: Merten/Papier, HGr II, $ 51, Rn. 64; Starck in: von Mangoldt/Klein/Starck, GG- 
Kommentar, Band I, Art. 2 I, Rn. 47; Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 21, 
Rn. 383; Enders in: Epping/Hillgruber, BeckOK GG, Art. 19, Rn. 40; Enders, Die Menschen- 
würde in der Verfassungsordnung, S. 450 f. 
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Insofern sind das Grundrecht auf informationelle Selbstbestimmung !”, das Recht 


am gesprochenen Wort!!% und am eigenen Namen!!?! sowie eigenen Bild!!%, 


Aspekte des Ehrschutzes!!'®, das GGVIS!!% sowie das Recht auf Geheim- und 


Privatsphäre! !5 


grundsätzlich relevant. Vorliegend ist in Bezug auf die digitale 
Identität aber dem Grundrecht auf informationelle Selbstbestimmung sowie dem 
Reputationsschutz zu nähern, wohingegen die übrigen Schutzrichtungen aufgrund 


ihrer einzelfallabhängigen Relevanz nicht weiter vertieft werden. 


Wie bereits im Rahmen der Berufsfreiheit erläutert, erstreckt sich der Reputa- 
tionsschutz des Art. 12 Abs. 1 GG überwiegend auf den status activus bzw. 


positivus: Die Entstehung, Ausgestaltung und Auflösung der unternehmensbe- 


zogenen digitalen Identität als Instrument und Teil des Unternehmensrufes.!!% 


Dementsprechend bedarf es eines negatorischen grundrechtlichen Schutzes, der 


1107 


sowohl Eingriffe des Staates als auch in mittelbarer Drittwirkung zwischen 


1099 BVerfGE 118, 168 (204); Tettinger in: Merten/Papier, HGr II, $ 51, Rn. 64; Remmert in: 
Maunz/Dürig, GG-Kommentar, Art. 19 III, Rn. 103; Jarass, NIW 1989, 857 (860); . 

1100 BVerfGE 106, 28 (43 f). 

1101 Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 III, Rn. 103; Brauer, Das Persönlichkeits- 
recht der juristischen Person, S. 42 ff auf $ 12 BGB analog stützend. 

1102 Offen lassend BVerfG NJW 2005, 883. 

1103 Brauer, Das Persönlichkeitsrecht der juristischen Person, S. 45 ff; Klippel, JZ 1988, 625 (631 f); 
vgl. auch Prinz in: Fezer/Büscher/Obergfell, UWG, S 7,Rn. 122. Auch aus den wirtschaftlichen 
Aspekten der Art. 12 und 14 GG ableitend Lorenz in: Kahl/Waldhoff/Walter, BonnK GG, Art. 
21, Rn. 385; wohl auch Remmert in: Maunz/Dürig, GG-Kommentar, Art. 19 M, Rn. 103. 

1104 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2 GG, Rn. 33; Dralle, GGVIS, S. 68 
ff. 

1105 BVerfGE 118, 168 (205); Westermann, Steht der Genossenschaft das „Allgemeine Persön- 
lichkeitsrecht‘“ zu?, S. 345 (351); Brauer, Das Persönlichkeitsrecht der juristischen Person, S. 
59 f; Klippel, JZ 1988, 625 (632); Meissner, Persönlichkeitsschutz juristischer Personen im 
deutschen und US-amerikanischen Recht, S. 83. 

1106 Sub D.1.2.b). 

1107 Vgl. BVerfGE 105, 252 (265 f); 105, 279 (303 f); 148, 40 (51 f, Rn. 28 ff). 
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Wettbewerbsteilnehmern!!% 


gilt. Zwar findet sich dies partiell bei ausreichender 
Gefährdung des Unternehmens in Art. 14 Abs. 1 GG}! sowie bei Einschränkung 
der Berufsausübung in Art. 12 Abs. 1 GG!!!®, jedoch fangen diese nur Extreme 
auf und bieten daher kaum effektiven Schutz. Schon deshalb bietet es sich an, 
diesen Schutz im subsidiären!!!! Unternehmensrecht des Art. 2 Abs. 1 GG zu 
verankern. Dennoch müssten sich auch sachliche Erwägungen finden lassen, um 
einen Reputationsschutz aus der persönlichkeitsrechtlichen — nicht wirtschafts- 
rechtlichen — Lesart des Art. 2 Abs. 1 GG abzuleiten. Prima facie scheint hierfür 
der Ehrschutz des Art. 2 Abs. 1 iVm 1 Abs. 1 GG als Vorbild geeignet. Sei- 
ne persönlichkeitsrechtliche Prägung weist allerdings einen starken Bezug zur 
Menschenwürde auf!!!?, sodass er um entsprechende Aspekte gekürzt bzw. ange- 
passt werden muss. Als Geschäftsehre umfasst er unter Würdigung der Eigenart 
juristischer Personen iSd Art. 19 Abs. 3 GG den sozialen Achtungs- und Geltungs- 
anspruch des Unternehmens im Wettbewerb und zu geschäftlichen Zwecken.!!" 
Per Definition kommt es also nicht auf die Menschenwürde an, da auch ein Un- 
ternehmen der Schmähung, Diskriminierung und Diffamierung erliegen kann.!!'+ 
Derartige Beeinträchtigungen fokussieren sich auf die Reputation und den Un- 


ternehmenskern als Aquivalent zur Menschenwürde, der beispielsweise — neben 


1108 Adressiert wird dabei die horizontale Ausrichtung der Drittwirkung, deren Wirkung unabhängig 
des Rechtssubjekts eintritt. Wenngleich sich die Lüth-Entscheidung des BVerfG (E 7, 198 
[205 ff]) auf Basis zivilrechtlicher und bürgerlicher Pflichten nur auf die Drittwirkung zugunsten 
natürlicher Personen bezieht, so muss diese im Rahmen der wesensmäßigen Anwendbarkeit 
des Art. 19 Abs. 3 GG ebenso für juristische Personen gelten. Demgemäß erstreckt sich die 
unternehmensbezogene Drittwirkung in wettbewerbsrechtlichen Vorschriften, vgl. Klippel, JZ 
1988, 625 (631); Ziegelmayer, GRUR 2012, 761 (762). — Die Drittwirkung im Bereich des 
Art. 19 Abs. 3 GG einzig bejahend Enders in: Merten/Papier, HGr IV, $ 89, Rn. 71. 

1109 Sub D.I.2.c). 

1110 Sub D.1.2.b). 

1111 Zur Subsidiarität siehe Fn. 1007. 

1112 Den Ehrschutz daher ablehnend BVerfGE 93, 266 (291); vgl. BVerfGK 8, 89 (99 f) sowie 
Krug, Ehre und Beleidigungsfähigkeit von Verbänden, S. 209 ff. Anders OLG Stuttgart NIW 
1976, 628. Ausführlich Hubmann, Persönlichkeitsrecht, S. 289. 

1113 Klippel, JZ 1988, 625 (631); Wronka, Das Persönlichkeitsrecht juristischer Personen, S. 98, 104 
f, Meissner, Persönlichkeitsschutz juristischer Personen im deutschen und US-amerikanischen 
Recht, S. 83; Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2, Rn. 224. 

1114 Vgl. Enders in: Merten/Papier, HGr IV, $ 89, Rn. 79. 
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Einrichtung und Nutzung digitaler Identitäten — in Produktqualität, Marken, Wer- 
bung oder sozialem Engagement verkörpert ist!!!5. Schäden am Unternehmens- 
vermögen iSd Art. 14 Abs. 1 GG oder praktische Einschränkungen iSd Art. 12 
Abs. 1 GG sind lediglich Kollateralschäden; der unternehmerische Ehrschutz ist 
vorrangig!!!6. Diese sachliche Plausibilität sieht sich zudem in der Ähnlichkeit der 
(mittelbaren) grundrechtlichen Gefährdungslage bestätigt: Sowohl natürliche als 
auch juristische Personen unterliegen bei Nutzung digitaler Identitäten gleicher- 
maßen den Gefahren des Online-Diskurses, sei es die aufgrund der Vernetzung 
intensivierte Prangerwirkung oder die fast unmögliche Wiederherstellung eines 
beschädigten Rufes!!!7. Beiden ist jedoch ein „Interesse an äußerlich ungehin- 
derter, möglichst freier Entfaltung und Verfolgung eigener Zwecke eigen“!!!8, 
das sich nunmehr im partizipatorisch geprägten Internet unter Einsatz digitaler 
Identitäten verwirklicht. Die digitale Ebene steht jedermann offen und ermög- 
lich dadurch ebenso jedermann eine Beeinträchtigung der digitalen Identität: Was 
für natürliche Personen oder zwischen Wettbewerbsteilnehmern eine Meldung 


{119 ist für staatliche Akteure die im Internet 


auf der eigenen Facebook-Seite is 
veröffentliche Pressemitteilung zum Boykottaufruf!!?°, Unabhängig der Eingriffs- 
richtung zeigt sich damit die bestehende Notwendigkeit einer Anerkennung und 
Vereinheitlichung des grundrechtlichen Schutzes unternehmerischer Reputation. 
Dies führt jedoch nicht zu einem grenzenlosen Schutz: Wie bei natürlichen Per- 
sonen gewährleistet er nicht „nur so dargestellt zu werden, wie es genehm ist“, 1121 
Hinzunehmen sind stets die „Offenlegung wahrer Tatsachen [...], solange sie sich 


im Rahmen der üblichen Grenzen individueller Entfaltungschancen halten“!!?, 


1115 Ziegelmayer, GRUR 2012, 761 (762). 

1116 Vgl. Prinz in: Fezer/Büscher/Obergfell, UWG, S 7, Rn. 122. 

1117 Ausführlich Ziegelmayer, GRUR 2012, 761 (673 ff). Vgl. auch BVerfG, Beschluss vom 
6.11.2019 - Az. 1 BvR 16/13 —, Rn. 103. 

1118 Enders in: Epping/Hillgruber, BeckOK GG, Art. 19, Rn. 41. 

1119 Ziegelmayer, GRUR 2012, 761 (764). Vgl. BVerfG NJW 2016, 3362. 

1120 Vgl. BVerfGE 148, 11 (12, Rn. 3; 35 ff, Rn. 68 ff). 

1121 StRspr BVerfGE 97, 391 (403); 97, 125 (149); 99, 185 (194); 101, 361 (380); 105, 252 (266); 
114, 339 (346). BVerfG NJW 2016, 3362; NJW 2012, 765 (757, Rn. 19); NJW 2011, 511 (511, 
Rn. 21); Beschluss vom 6.11.2019 - Az. 1 BvR 16/13 -, Rn. 82, 107. 

1122 BVerfG NJW 2016, 3362. 
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sachliche „Kritik der Qualität [der] Produkte oder [des] Verhaltens“!!? sowie das 
staatliche Interesse zum Schutz und zur Aufklärung der Allgemeinheit!!?*, Dies 
hindert jedoch nicht daran, von einem prinzipiell weiten Schutz des Unterneh- 
mensrufes bzw. der Geschäftsehre auszugehen, welcher die digitale Identität als 
Repräsentationsmöglichkeit vollumfänglich einschließt. 


Im Kern ist sich bei Betrachtung der digitalen Identität als Instrument und An- 
sammlung von Informationen aber dem Grundrecht auf informationelle Selbst- 
bestimmung aus Art. 2 Abs. 1 GG zuzuwenden. Obschon das BVerfG in seiner 
initialen Rechtsprechung nur von „neuen Gefährdungen der menschlichen Per- 


sönlichkeit‘ 1125 


ausgegangen ist, gewährt es juristischen Personen später ebenso 
grundrechtlichen Schutz gegenüber „Gefährdung[en] hinsichtlich ihrer spezifi- 
schen Freiheitsausübung‘“'!?°, Seitdem folgt auch die Literatur dieser Anwend- 
barkeit!!?’, jedoch nur selten im Zusammenhang mit der Unternehmenspersön- 
lichkeit!!?®. Grundlegend ist die unternehmerische informationelle Selbstbestim- 


mung auf den Schutz der wirtschaftlichen Tätigkeit gerichtet!!” 


, worin sich be- 
reits (und erneut) das Kriterium des Unternehmensbezugs abzeichnet. Es dient 
zur Abgrenzung des üblicherweise nur natürlichen Personen zugänglichen Schut- 
zes personenbezogener Daten. Schließlich setzt sich letztgenanntes Dogma bis 


zuletzt in der harmonisierenden DSGVO fort, wie der Wortlaut des Art. 4 Nr. 1 


1123 BVerfGE 105, 252 (266) — Einfügung durch den Bearbeiter. Vgl. auch BGH NJW 2008, 2110 
(2115, Rn. 29) mwN vor dem Hintergrund der Schmähkritik. 

1124 Hierzu BVerfGE 99, 185 (197 f). 

1125 So BVerfGE 65, 1 (41) — Hervorhebung durch den Bearbeiter. 

1126 So BVerfGE 118, 168 (204) — Einfügung durch den Bearbeiter. 

1127 Zustimmend Di Fabio in: Maunz/Dürig, GG-Kommentar, Art. 2, Rn. 224; Remmert in: Maunz/ 
Dürig, GG-Kommentar, Art. 19 III, Rn. 103; Gersdorf in: Gersdorf/Paal, BeckOK InfoMedi- 
enR, Art. 2, Rn. 33; Wilms/Roth, JuS 2004, 577 (578); unter Hinzuziehen von Art. 12 Abs. 1 
GG auch Kunig, Jura 1993, 595 (599) sowie Ziegelmayer, GRUR 2012, 761 (763). Hinsicht- 
lich des Grundrechts auf Datenschutz aus Art. 8 GrC, Art. 8 EMRK bejahend Heißl, EuR 
2017, 561 (570). Ablehnend wegen Nähe zur Menschenwürde dagegen Bernsdorff in: Meyer/ 
Hölscheidt, GrC-Kommentar, Art. 8, Rn. 18. 

1128 Schnabel, CR 2016, 342 (347). 

1129 BVerfGE 118, 168 (204). 
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sowie Erwägungsgrund 14 S. 2 DSGVO statuieren.!!3 Bei Lichte besehen be- 
nennt Erwägungsgrund 14 S. 2 DSGVO aber expressis verbis „personenbezo- 
gene Daten juristischer Personen“ wie „Name, Rechtsform oder Kontaktdaten“, 
die ausschließlich in der wirtschaftlichen Tätigkeit des Unternehmens verwendet 


1131 es darf „nicht um die dahinter stehenden Personen gehen“!!??. Diese 


werden; 
ist in einer funktionalen Betrachtung des Datums zu ermitteln und regelmäßig 
beispielsweise bei unternehmensbezogenen Kontaktdaten als „Anlaufstelle“ re- 
gelmäßig gegeben.!!3? Sie unterliegen damit nicht dem Anwendungsbereich der 
DSGVO, sondern - sofern geregelt — den Regelungen des Mitgliedsstaates.!!?* An- 
gesichts dessen ist zumindest davon auszugehen, dass juristische Personen über 
unternehmensbezogene - also nicht-personenbezogene — Daten verfügen können 
(sollen). Der Schutz kann zwar nicht weiter reichen als jener natürlicher Perso- 


en!!35 


n , muss aber im Umkehrschluss das entsprechende Äquivalent ohne Men- 


schenwürdebezug abdecken. Umfasst sind neben der informationellen Geheim- 
und Privatsphäre in Form von Betriebs- und Geschäftsgeheimnissen bzw. Inter- 


na!!36 wie Kundendaten des Unternehmens!!37 


auch Schutz und Verwendung 
von gewerblicher Kennzeichen sowie Abkürzungen, Unternehmensbezeichnun- 
gen und Warenzeichen. Eine Diffamierung letzterer ist allerdings oftmals in den 


1138 sodass es 


vermögensrechtlichen Bereich des Art. 14 Abs. 1 GG einzuordnen 
im Schwerpunkt der Beeinträchtigung der Reputation bzw. Geschäftsehre oder 


einer bloß die Selbstbestimmung verdrängenden Handlung für eine Aktivierung 


1130 Schnabel, WM 2019, 1384 (1385 f). 

1131 Rabe, K&R 2019, 464 (465 f). 

1132 Schnabel, WM 2019, 1384 (1387); vgl. auch Bleckmann/Helm, DVBl 1992, 9 (15). 

1133 Rabe, K&R 2019, 464 (466). 

1134 Rabe, K&R 2019, 464 (467). Anders dagegen die Rechtsprechung des EuGH, hierzu detailliert 
S. 466 f des Beitrages mwN. 

1135 BVerfGE 128, 1 (43). 

1136 Vgl. Klippel, JZ 1988, 625 (632); Ziegelmayer, GRUR 2012, 761 (763); Heißl, EuR 2017, 561 
(568). Dies schließt beispielsweise auch personenbezogene Daten der Mitarbeiter ein, wie sich 
aus dem Parallellaufen von DSGVO und GeschGehG ergibt — so Gola, DuD 2019, 569 (570). 
Interna ohne Personenbezug dagegen nicht unter Art. 2 Abs. 1 GG subsumierend Wolf, Der 
Schutz des Betriebs- und Geschäftsgeheimnisses, S. 115 f. 

1137 Heißl, EuR 2017, 561 (568); Wolf, Der Schutz des Betriebs- und Geschäftsgeheimnisses, S. 
115. Ablehnend Jarass, NIW 1989, 857 (860). 

1138 Klippel, JZ 1988, 625 (633). 
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des Art. 2 Abs. 1 GG bedarf. Die alleinige Verdrängung findet sich allerdings 
überaus selten, was (erneut) für die subsidiäre Funktion des Art. 2 Abs. 1 GG 
spricht. Vor diesem Hintergrund ist die digitale Identität einer juristischen Per- 
son nur in Bezug auf die wirtschaftliche Tätigkeit im informationellen Kontext 
geschützt. Soweit der spezifische Fall nicht bereits durch Art. 12 Abs. 1 oder 14 
Abs. 1 GG abgefangen wurde, bewahrt das Grundrecht das Geheimhaltungsin- 
teresse an Einzelheiten der (unternehmensbezogenen) digitalen Identität sowie 
die Hoheit iSd informationellen Selbstbestimmung „wann und innerhalb welcher 
Grenzen“!!39 der Unternehmensidentität zuzuordnende Daten, Kennzeichen und 
Marken verwendet oder gar der Öffentlichkeit offenbart werden. 


Überdies besteht auch ein Schutz der Vertraulichkeit und Integrität technischer 
Systeme für juristische Personen gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG. Dieser 
systemische Grundrechtsschutz bezieht sich jedoch eher auf Abwehr technischer 
Gefahren!!#, wenngleich die im System hinterlegten digitalen Identitäten und 
sonstige Informationen iSd informationellen Selbstbestimmung mittelbar ebenso 
hiervon umfasst sind. Dementsprechend erfolgt der detaillierte Blick im nachfol- 
genden Abschnitt. 


Das Auffanggrundrecht des Art. 2 Abs. 1 GG stellt sich damit als Bindeglied 
zwischen dem vermögensrechtlichen und dem funktionsbeschränkenden Schutz 
juristischer Personen dar. Sowohl der Schutz der Geschäftsehre als auch die for- 
malistische Selbstbestimmtheit über den Verbleib von Informationen finden sich 
hierin. Der dadurch bestehende, weite Schutzbereich schließt jeweils die digitale 
Identität juristischer Personen spezifisch ein — sei es in der Außenwirkung als 
Reputationsschutz oder in Summe und in seinen informationellen Einzelteilen 
qua Art. 2 Abs. 1 GG. 


1139 BVerfGE 65, 1 (42). 
1140 Krügel, MMR 2017, 795 ff. 
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e) Conclusio für juristische Personen gem. Art. 19 Abs. 3 GG 


Der schon zu Beginn dieser Untersuchung neutral formulierte Begriff der digita- 
len Identität findet somit nicht nur auf juristische Personen Anwendung, sondern 
ist im Rahmen des hier vertretenen Unternehmenspersönlichkeitsrechts auch aus- 
reichend geschützt!!*!. Dies gestaltet sich durch den Trias aus dem Recht am 
eingerichteten und ausgeübten Gewerbebetrieb des Art. 14 Abs. 1 GG, der Be- 
rufsfreiheit des Art. 12 Abs. 1 GG und der persönlichkeitsrechtlichen Komponente 
des Art. 2 Abs. 1 GG. Im Einzelnen schützt der vermögensrechtliche Aspekt des 
Art. 12 Abs. 1 GG die juristische Person iSe wirtschaftlichen Betätigungsfreiheit, 
also auch die Ausgestaltung und Nutzung digitaler Identitäten. Der vermögens- 
rechtliche Aspekt des Art. 14 Abs. 1 GG wiederum betrifft den Bestand des 
Unternehmens als Ganzes. Die bestehende digitale Identität wäre sodann vom 
Betriebseigentum iSe Nutzungsrechts umfasst, jedoch weniger in seinen informa- 
tionellen Einzelteilen. Diese sind vielmehr unter den Schutz des Art. 2 Abs. 1 
GG zu stellen, wobei sich dieser sowohl auf die Geschäftsehre als auch auf die 
informationelle Selbstbestimmung hinsichtlich der digitalen Identität bezieht. Der 
eingangs erwähnte Trias fängt damit nicht nur bestehende, sondern auch zukünf- 
tige Darstellungsformen von Unternehmen auf. Ihr Schutz steht damit in nichts 
dem natürlicher Personen nach.'!*? 


ll. Technische Betrachtungsweise 


Abschließend bleibt in diesem Kapitel zu untersuchen, ob und wie der technik- 
bezogene Grundrechtsschutz die digitale Identität einschließt. Im Zentrum dieses 


1141 Ebenso ein Unternehmenspersönlichkeitsrecht befürwortend Meissner, Persönlichkeitsschutz 
juristischer Personen im deutschen und US-amerikanischen Recht, S. 159 ff; Korneeva, Das 
Persönlichkeitsrecht des Unternehmens, S. 119 f; von Lilienfeld-Toal, Das allgemeine Persön- 
lichkeitsrecht juristischer Personen des Zivilrechts, S. 125 ff; Ziegelmayer, GRUR 2012, 761 
(762 ff); Klippel, JZ 1988, 625 (633 ff). 

1142 Vgl. Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 34. 
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Abschnitts steht daher der IT-systembezogene Schutz unabhängig des Informati- 
onsgehaltes oder einer vertieften, wertenden Einordnung der jeweiligen Endgeräte 
in die (Persönlichkeits-)Sphären. Namentlich umfasst die Betrachtung die Grund- 
rechte der Art. 13 Abs. 1, 10 Abs. 1 sowie das Grundrecht auf informationelle 
Selbstbestimmung und das GGVIS aus Art. 2 Abs. 1iVm 1 Abs. 1 GG. Letzteren 
kommt dabei eine umfängliche Betrachtung zu. In die jeweils verfassungsrechtlich 
geschützte Technik bzw. den jeweilig geschützten Anwendungsfall ist die digitale 
Identität sodann einzuordnen. 


Hinsichtlich der weiteren Prüfung ist jedoch eine Änderung in der Prüfungsstruk- 
tur vorzunehmen: Wohingegen zuvor zwischen natürlicher und juristischer Person 
unterschieden wurde, kann nun für diesen Abschnitt von einer derartigen Trennung 
abgesehen werden. Allumfassend richtet sich der grundrechtliche Schutz dieser 
Lesart auf einen Sphärenschutz in Form technischer Einrichtungen. Die in der 
Sphäre geschützten Interessen können auf unterschiedlichem verfassungsrechtli- 
chem Ursprung beruhen - beispielsweise dem Schutz der Privatsphäre aufseiten 
natürlicher Personen oder der Schutz der „betrieblichen Privatsphäre“ eines Un- 
ternehmens in Form von Betriebs- und Geschäftsgeheimnissen. Der verfassungs- 
rechtliche Schutz der technischen Einrichtung versteht sich aber regelmäßig als 
Vertrauens- und Bestandsschutz. Dieser ist abseits der Menschenwürde des Art. 
1 Abs. 1 GG zu verorten und daher unabhängig der personellen Schutzfähigkeit 


zu betrachten. 1# 


1143 Zu Art. 13 GG siehe stRspr BVerfGE 32, 54 (72), 42, 212 (219); 44, 353 (371), 76, 83 
(88); 96, 44 (51); 106, 28 (43); 120, 274 (309); Herdegen in: Kahl/Waldhoff/Walter, BonnK 
GG, Art. 13, Rn. 34, 37; Papier in: Merten/Papier, HGr IV, $ 91, Rn. 8; Horn in: Isensee/ 
Kirchhof, HStR VII, $ 149, Rn. 88; Bethge, Grundrechtsberechtigung juristischer Personen, S. 
37/38. Zum Fernmeldegeheimnis des Art. 10 Abs. 1 GG siehe stRspr BVerfGE 67, 157 (172); 
100, 313 (358); 106, 28 (36, 43); Gusy in: von Mangoldt/Klein/Starck, GG-Kommentar, Band 
I, Art. 10, Rn. 24; Stern, StaatsR IV/1, S. 261; Stettner in: Merten/Papier, HGr V, $ 92, Rn. 
42. Zum Grundrecht auf informationelle Selbstbestimmung siehe BVerfGE 118, 168 (204); 
Stern, StaatsR IV/1, S. 246 f, vgl. auch LG Berlin ZUM 2004, 578 (579 f). Hinsichtlich des 
GGVIS siehe Dralle, GGVIS, S. 68 ff; Freimuth, Gewährleistung der IT-Sicherheit, S. 160 ff; 
Rudolf in: Merten/Papier, HGr IV, $ 90, Rn. 80. 
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1. Unverletzlichkeit von Wohnraum und Privatheit, 
Art. 13 Abs. 1 GG 


Zuvorderst ist sich der Unverletzlichkeit des Wohnraumes gem. Art. 13 Abs. 1 GG 
zu widmen. Darunter ist der Schutz der räumlich umgrenzten, der Öffentlichkeit 
entzogenen Privatsphäre zu verstehen.!!* Dementsprechend weist das Grundrecht 
eine Nähe zur Menschenwürde des Art. 1 Abs. 1 GG auf.'!*° In Abhängigkeit 
der Nutzung der Räumlichkeit entfernt sich der Schutz des Art. 13 Abs. 1 GG 
von der Menschenwürde, sofern es sich um weniger private Räumlichkeiten wie 
Betriebs- und Geschäftsräume handelt.'!*% Die damit weit zu verstehende Sphäre 
ist dann beeinträchtigt, wenn ein Umgehen der räumlichen Abgrenzung vorliegt. 
Auch das Überwinden von Umfriedungen, (verschlossenen) Türen und anderen 
Hindernissen ohne Einwilligung des Nutzungsberechtigten der Räumlichkeit stellt 


einen Eingriff dar.!!* 


In Bezug auf digitale Sachverhalte hat das Bundesverfassungsgericht den Eingriffs- 
begriff um Mittel und Maßnahmen erweitert, die „einen Einblick in Vorgänge der 
Wohnung verschaffen, die der natürlichen Wahrnehmung von außerhalb des ge- 
schützten Bereichs entzogen sind.“ !!*® Schutzgut ist also nicht nur die räumliche 
Sphäre an sich, sondern auch die darin entäußerte Information.'!® Um diese 


1144 StRspr BVerfGE 18, 121 (131 f); 32, 54 (75); 89, 1 (12); 120, 274 (309). Auch Gornig in: 
von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 13, Rn. 1 ff, Horn in: Isensee/ 
Kirchhof, HStR VII, $ 149, Rn. 85 ff, Albers, DVBI 2010, 1061 (1064). 

1145 BVerfGE 42, 212 (219); 106, 28 (43); 113, 348 (391); Gornig in: von Mangoldt/Klein/ 
Starck, GG-Kommentar, Band I, Art. 13, Rn. 4. 

1146 Vgl. BVerfGE 32, 54 (69 ff); 42, 212 (219); 44, 353 (371); 76, 83 (88); 96, 44 (51); 106, 28 (43); 
109, 279 (314); Herdegen in: Kahl/Waldhoff/Walter, BonnK GG, Art. 13, Rn. 34; Papier in: 
Merten/Papier, HGr IV, $ 91, Rn. 9; Gornig in: von Mangoldt/Klein/Starck, GG-Kommentar, 
Band I, Art. 13, Rn. 22, 36. Ebenso ist Art. 8 Abs. 1 EMRK auf juristische Personen anwendbar, 
siehe nur EGMR NJW 1993, 718 sowie Urt. v. 16.4.2002, Az. 37971/97. Ablehnend dagegen 
Kühne in: Sachs, GG, Art. 13, Rn. 4. 

1147 Vgl. Herdegen in: Kahl/Waldhoff/Walter, BonnK GG, Art. 13, Rn. 27 f, Gornig in: von Man- 
goldt/Klein/Starck, GG-Kommentar, Band I, Art. 13, Rn. 16 f, 43 f. 

1148 BVerfGE 120, 274 (310). 

1149 BVerfGE 109, 279 (374 f); Hermes in: Dreier, GG, Art. 13, Rn. 12. 
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mittels technischer Hilfsmittel zu erlangen, kann im Rahmen einer sog. Online- 
Durchsuchung je nach Ausgestaltung der heimlich installierten Software auf die 
in Endgeräten integrierte aktive Sensorik oder verbundene Peripheriegeräte — 
hauptsächlich Kameras und Mikrofone, jüngst insbesondere von Sprachassisten- 
ten!!50 _ zugegriffen werden.!!5' Der Eingriff beginnt jedoch erst mit Einschalten 
bzw. Nutzen dieser Instrumente, nicht schon mit der Installation der Software. ! 15? 
Wenngleich dabei wiederum „Software-Umfriedungen“ wie Firewalls oder Vi- 
renscanner!!53 überwunden werden, erklärt dies nicht das jeweilige Endgerät als 
Wohnraum iSd Art. 13 Abs. 1 GG. Die räumliche Integrität, die Art. 13 Abs. 1 GG 
schützt, hat folglich kein technisches Äquivalent.!!5* Gelingt der Zugriff lediglich 
auf Datensätze des Endgerätes, so erfolgt der Eingriff in die informationellen 
Grundrechte des Art. 2 Abs. 1 iVm 1 Abs. 1 GG.!!?® Demgemäß kann Art. 13 
Abs. 1 GG schon nicht die digitale Identität schützen. Sie bildet sich und existiert 
ausschließlich auf digitalen Speichermedien. Einzig Gespräche über den Umgang 
und die Verwendung dieses Alter Ego können für einen Schutz durch Art. 13 
Abs. 1 GG relevant sein. Der Schutz der räumlichen Privatsphäre des Art. 13 


Abs. 1 GG kommt der digitalen Identität damit nicht zugute. 


1150 Siehe hierzu Rüscher, NStZ 2018, 687 (688). 

1151 Pressemitteilung des Chaos Computer Clubs vom 8.10.2011, abrufbar unter https://www.ccc. 
de/de/updates/20 1 1/staatstrojaner; BVerfGE 120, 274 (310); Gercke, CR 2007, 245 (248). 

1152 BVerfGE 120, 274 (311). 

1153 Vgl. Gercke, CR 2007, 245 (249), Kutscha, NJW 2007, 1169 (1170); Hofmann, NStZ 2005, 
121 (124). 

1154 Vgl. auch Gercke, CR 2007, 245 (250); Hofmann, NStZ 2005, 121 (124); Hornung, JZ 2007, 
828 (829 f) als Erwiderung auf Rux, JZ 2007, 285 (insbes. 292 ff). 

1155 Siehe nur BVerfGE 120, 274 (311 ff). 
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2. Fernmeldegeheimnis, Art. 10 Abs. 1 Var. 3 GG 


Plausibler erscheint da ein Schutz durch das Fernmeldegeheimnis des Art. 10 
Abs. 1 Var. 3 GG. Seinem Schutz unterliegt die der unkörperlichen!!® Individual- 
kommunikation immanente Vertraulichkeit bzw. „Privatheit auf Distanz‘!!57.1158 
Die Auflösung der räumlichen Privatheit von Gesprächen vis-ä-vis durch orts- 
unabhängige und digitale, nunmehr alltägliche Kommunikationsformen (Bilder, 
Sprachnachrichten als Fortentwicklung des Short Message Service, etc.) macht 
besagte Privatheit brüchig und verletzbar. Durch ein (notwendiges) Einbeziehen 
eines Dritten zur Überwindung der räumlichen Distanz werden die Grenzen des 
Vertrauens gedehnt und Dritte (unfreiwillig) einbezogen.'!°” Um die Vertraulich- 
keit weiterhin zu erhalten, muss der Dritte bestimmte Grundsätze zum Schutz des 
Inhalts und der Umstände laufender Kommunikationsprozesse wahren. Im Ver- 
gleich zu den weiteren Freiheiten des Art. 10 Abs. 1 GG bedarf es beispielsweise 
der Ausrichtung des angebotenen Kommunikationsmodells auf „einen privaten, 
vor den Augen der Öffentlichkeit verborgenen Austausch von Nachrichten, Ge- 
danken und Meinungen (Informationen)“!!, Hierzu kann sich auch technischer 
Mittel wie etwa Zugangsschlüsseln!!6! (Passwörter, Login-Daten) bedient werden, 
insbesondere nach dem dynamischen Verständnis des Grundrechts!!®. Eine un- 
mittelbare Bindung Privater an Art. 10 Abs. 1 GG besteht jedoch nicht, sodass dem 
Gesetzgeber die Prärogative zur Vorgabe technischer Standards und dem Umgang 


1156 Pagenkopf in: Sachs, GG, Art. 10, Rn. 14a f. 

1157 So Gusy in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 10, Rn. 19. 

1158 BVerfGE 67, 157 (172); 85, 386 (395 f); 100, 313 (358); 106, 28 (37); 115, 166 (182); 120, 
274 (340 f); Gusy in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 10, Rn. 62, 64; 
Stettner in: Merten/Papier, HGr V, $ 92, Rn. 20; Deusch/Eggendorfer, K&R 2017, 93 (93 f). 

1159 BVerfGE 85, 386 (396); 106, 28 (36 f); 115, 166 (182); Gusy in: von Mangoldt/Klein/ 
Starck, GG-Kommentar, Band I, Art. 10, Rn. 65; Schwabenbauer, AöR 137 (2012), 1 (16); 
Bizer, DuD 1996, 5 (5). 

1160 So BVerfGE 67, 157 (171). 

1161 Vgl. BVerfGE 120, 274 (341). 

1162 BVerfGE 46, 120 (144); 106, 28 (36); 113, 348 (383); 115, 166 (182 f); Gusy in: von Mangoldt/ 
Klein/Starck, GG-Kommentar, Band I, Art. 10, Rn. 60, 23; vgl. auch Pagenkopf in: Sachs, GG, 
Art. 10, Rn. 14 c. 
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mit Inhalts-, Verkehrs- und Bestandsdaten!!6 obliegt.'!6* Der Schutz des Grund- 


rechts bezieht sich allerdings nur auf laufende Vorgänge! !® 


und die Speicherung 
von Kommunikationsdaten außerhalb des Herrschaftsbereich der Teilnehmen- 
den!!66, Mithin bezieht er „den Informations- und Datenverarbeitungsprozeß [sic], 
der sich an die Kenntnisnahme von geschützten Kommunikationsvorgängen an- 
schließt [sic], und den Gebrauch, der von den erlangten Kenntnissen gemacht 
wird“, ein.!!6° Nach Abschluss der Kommunikation im Herrschaftsbereich der 
Teilnehmenden verbleibende Daten unterliegen dagegen dem Schutz des Grund- 
rechts auf informationelle Selbstbestimmung, Art. 2 Abs. 1 iVm 1 Abs. 1 GG.!168 
Insofern ergänzt Art. 10 Abs. 1 GG den Schutz der Art. 13 und 2 Abs. 1 iVm 1 


Abs. 1 GG. 


Seine technische Prägung erhält das Grundrecht durch sein Schutzgut: Die ge- 
schützte Vertraulichkeit beruht nicht auf zwischenmenschlichem Vertrauen!!?, 
sondern dem Fernmeldevorgang als Informationsmedium. Die Gefährdung des 
Fernmeldegeheimnisses besteht nicht wie bei übrigen Varianten des Art. 10 Abs. 1 
GG durch den Dritten als Person, sondern die mögliche technische Angreifbarkeit 
der Verbindung durch einen über den Dienstleister des Mediums hinausgehenden 
Personenkreis. '!7! Diesbezügliche Schutzmaßnahmen liegen allerdings außerhalb 


des Herrschaftsbereiches des Kommunikationsteilnehmers. Aus der Ohnmacht 


1163 Diesbezüglich bleibt die Nähe zum laufenden Telekommunikationsvorgangs zu berücksichtigen, 
sodass nicht jedes Bestandsdatum dem Schutz des Art. 10 Abs. 1 GG unterliegt — so Gusy in: 
von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 10, Rn. 65. 

1164 Zur Rolle des Gesetzgebers auch Gusy in: von Mangoldt/Klein/Starck, GG-Kommentar, Band 
I, Art. 10, Rn. 40. 

1165 BVerfGE 115, 166 (183 f). 

1166 Umkehrschluss aus BVerfGE 115, 166 (184), unmittelbar E 120, 274 (307/308). Ebenso Buer- 
meyer, StV 2013, 470 (474). 

1167 So BVerfGE 100, 313 (359) unter Verweis auf 65, 1 (46). Ähnlich BVerfGE 106, 28 (38) unter 
Verweis auf die grundrechtliche Gefährdungslage; 110, 33 (69 f) ; Schwabenbauer, AöR 137 
(2012), 1 (15/16). Scheinbar damit brechend E 115, 166 (183 ff); 120, 274 (307 ff). 

1168 BVerfGE 115, 166 (184); 120, 274 (307 f). 

1169 BVerfGE 115, 166 (187, 199 f); Buermeyer, StV 2013, 470 (473). 

1170 Vgl. hierzu Nettesheim, VVDStRL 70 (2010), 7 (22): „Verfassungsrechtlichen Schutz des 
Vertrauens in die Integrität des Kommunikationspartners gibt es [...] nicht.“ 

1171 Gusy in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 10, Rn. 61, 44; vgl. Pagen- 
kopf in: Sachs, GG, Art. 10, Rn. 14a. 
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generiert sich ein Vertrauensschutz gegenüber dem Handeln des Dritten zum 
Schutz der technischen Integrität.'!7? Zwangsnotwendig gehört zu den „bereichs- 
spezifischen Schutzvorkehrungen“ des Art. 10 Abs. 1 GG!!” also ein gefestigter, 


übertragungssicherer Weg zum Erhalt der Verborgenheit der Kommunikation !!’*, 


Prima facie liegt der technische Schutz der grundrechtlich geschützten Kom- 
munikationsvorgänge damit in der Verantwortung des Diensteanbieters. Näher 
besehen ist dies jedoch ein synallagmatisches Verhältnis, bei dem der Nutzer 
bzw. Teilnehmer entsprechende Vorgaben des Diensteanbieters berücksichtigen 
muss, um einem effektiven Schutz durch den Diensteanbieter beizuwirken. Da- 
bei kann es sich z.B. um ein ausreichend langes und variantenreiches Passwort 
handeln, das regelmäßig gewechselt wird. Darüber hinaus dienen Login-Daten 
oftmals zur Generierung eines Schlüssels (bspw. Hash-Wertes), der ausschließ- 
lich einseitig beim Nutzer bzw. Teilnehmer bekannt ist.'!7° Das damit scheinbare 
Verlagern der Ohnmacht hin zur machtvollen (ggf. informationellen) Selbstbe- 
stimmung löst den Schutz des Art. 10 Abs. 1 GG nicht auf, sondern ist im 
Speziellen eine besondere Maßnahme des Diensteanbieters zum Schutz vor An- 
griffen auf die eigene Infrastruktur sowie die Daten der Nutzer. Lediglich der 
Schutz des einseitig vorhandenen Schlüssels liegt allein in der Sphäre des Kom- 
munikationsteilnehmers, sodass entsprechende Grundrechte des Art. 2 Abs. 1 
iVm 1 Abs. 1 GG in Betracht kommen. Das Beiwirken der Nutzer ist allerdings 
nicht als Selbstschutz zu begreifen, da derartige Maßnahmen sich nur auf Daten- 
sätze im Herrschaftsbereich beziehen können und einseitig vom Nutzer ausge- 
hen.'!76 Sub specie der Schutzrichtung des Art. 10 Abs. 1 GG ist der Selbstschutz 


1172 Vgl. Nettesheim, VVDStRL 70 (2010), 7 (26). 

1173 Nettesheim, VVDStRL 70 (2010), 7 (17). 

1174 So Pagenkopf in: Sachs, GG, Art. 10, Rn. 14c unter Rekurs auf BVerfGE 67, 157 (171). 

1175 Zum Verfahren siehe vgl. Eckert, IT-Sicherheit, S. 420 ff, Hellmann, IT-Sicherheit, S. 57 ff. 
Als Beispiel lässt sich hier der sog. Secret Key beim Passwort-Manager 1Password nennen, bei 
dem die Sicherheit durch ein Zwei-Schlüssel-Verfahren erhöht wird — hierzu https://lpasswor 
d.com/files/lPassword- White-Paper.pdf. 

1176 Vgl. Roßnagel in: Roßnagel, Handbuch Datenschutzrecht, Kap. 3.4, Rn. 2 f, 42 sowie die darge- 
stellten Selbstschutzmaßnahmen bei Hossenfelder, Pflichten von Internetnutzern zur Abwehr 
von Malware und Phishing in Sonderverbindungen, S. 125 ff, die allesamt aufseiten des Nutzers 
vorgenommen werden. 
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iSd informationellen Selbstbestimmung durch einen präventiven Charakter ge- 
prägt, wo „die spezifischen Gefahren der räumlich distanzierten Kommunikation 
[...] im Herrschaftsbereich des Empfängers, der eigene Schutzvorkehrungen ge- 
gen den ungewollten Datenzugriff treffen kann, nicht [bestehen].“'!7’ Nur sofern 
der Selbstschutz dazu dient, das Fernmeldegeheimnis aufrechtzuerhalten oder 
die objektive Geheimheit der Kommunikation zu verstärken, kommt ein Schutz 
des Art. 10 Abs. 1 GG in Betracht.!!7® Vor diesem Hintergrund eine Trans- 


portverschlüsselung'!!”? 


nicht als Teil der grundrechtlich geschützten vertrauli- 
chen Signalübertragunganzuerkennen ließe die Entwicklungsoffenheit sowie den 
status activus des Grundrechts aussen vor.!'° Demgemäß umfasst das Fernmelde- 
geheimnis des Art. 10 Abs. 1 GG in technischer Hinsicht sämtliche Maßnahmen 
zum Schutz vor der Kenntnisnahme Dritter, sofern sie die Vertraulichkeit der In- 
dividualkommunikation stärken; auf den Initiator der Maßnahme kommt es nicht 


an. Für den grundrechtlichen Schutz ist er keinesfalls obligatorischer Natur.!!8! 


Für die digitale Identität ist das Fernmeldegeheimnis des Art. 10 Abs. 1 GG 
zunächst nur in Belangen der Individualkommunikation relevant. Sofern ein 


1177 BVerfGE 115, 166 (184) — Einfügungen durch den Bearbeiter. 

1178 Eichenhofer, Der Staat 55 (2016), 41 (46). Im Zweifel über die Geheimheit ist von einem Schutz 
durch das Fernmeldegeheimnis auszugehen - so BVerfGE 125, 260 (311). 

1179 Zum Begriff differenzierend siehe Buermeyer, StV 2013, 470 (471); vor dem Hintergrund 
des Art. 32 DSGVO auch Ritter in: Schwartmann etal., DSGVO/BDSG, Art. 32, Rn. 39. 
Als Beispiele hierfür kann neben den für E-Mails typischen Varianten mit Transport Layer 
Security (TLS) in Form von IMAPS und POP3S auch das für Instant Messaging relevante 
Signal-Protokoll genannt werden. Letzteres wird bis zuletzt beim gleichnamigen Messenger 
sowie bei WhatsApp eingesetzt. Die Verschlüsselung via S/MIME und OpenPGP/GPG ist 
dagegen eine Inhaltsverschlüsselung, weshalb sie auch offline zu anderen Zwecken eingesetzt 
werden kann - hierzu Eckert, IT-Sicherheit, S. 801 ff, 806 ff. Bei einem Einsatz zum Schutz 
der Individualkommunikation muss unter Würdigung der Schutzbereichsdefinition des Art. 10 
Abs. 1 GG aber ebenso von einem Schutz durch das Fernmeldegeheimnis ausgegangen werden 
— iE ebenso Durner in: Maunz/Dürig, GG-Kommentar, Art. 10, Rn. 91, 52 f, Bizer, DuD 
1996, 5 (6 f); Gusy in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 10, Rn. 66. 
Ablehnend Buermeyer, StV 2013, 470 (474 f). 

1180 Roßnagel in: Roßnagel, Handbuch Datenschutzrecht, Kap. 3.4, Rn. 15: „Verschlüsselungsfrei- 
heit“. Überdies dient die Verschlüsselung dem Selbstdatenschutz und ist sowohl durch das 
Grundrecht auf informationelle Selbstbestimmung gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG als 
auch Art. 2 Abs. 1 GG geschützt — umfassend hierzu Roßnagel in: Roßnagel, Handbuch Daten- 
schutzrecht, Kap. 3.4, Rn. 9 ff, 17 ff. 

1181 So auch Schwabenbauer, AöR 137 (2012), 1 (18 f). 
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Messenger-Dienst mit einem Zugangsdaten-Paar (z.B. Benutzername und Pass- 
wort) verwendet wird, besteht ein fließender Übergang zum Schutz des Fern- 
meldegeheimnisses. Die Einzeldaten unterliegen dem Schutz personenbezogener 
Daten nach Art. 2 Abs. 1 iVm 1 Abs. 1 GG, wohingegen die Funktionen der digita- 
len Identität als Mittel der vertraulichen Kommunikation vom Schutz des Art. 10 
Abs. 1 GG umfasst sind. Je nach Handhabe über die technischen Gegebenheiten 
erweitert sich der Schutzumfang um Mittel der Verschlüsselung zum Schutz und 
Erhalt der Vertraulichkeit. 


Darüber hinaus bleibt ein Blick auf die einzelnen geschützten Positionen des 
Grundrechts zu werfen: Der Schutz von Inhalten und Umständen jeglicher In- 
dividualkommunikation begründet sich nicht nur aus dem geschützten Kommu- 
nikationsvorgang. Vielmehr begründet die Möglichkeit der Anreicherung von 
Orten der Kommunikationsteilnehmer, Verbindungszeit und -dauer, Häufigkeit 
der Kontaktaufnahme, Art und Weise der verwendeten Kommunikationsmittel, 
Verbindungsdaten der Teilnehmer, Anschlüsse und Nummern mit entsprechen- 
der Identifikationswirkung für übrige Verbindungsdaten!!#? das Entstehen von 
(Sozial-)Profilen!!8? — also dem Kommunikationsteilnehmer nur bedingt zugäng- 
liche digitale Identitäten. Der Unvermeidbarkeit dieser Datenerhebung ist aber 
die teilweise Flüchtigkeit der Daten sowie die Zweckgebundenheit und Erfor- 
derlichkeit der Verwertung einzelner Daten entgegenzusetzen.'!$* Die schon im 
Datenschutzrecht bewährten Grundsätze finden also auch hier kontextualisiert 


1185 


Anwendung und reduzieren zumindest die nicht-zielgerichtete Aggregation 


von Daten. 


In Summe ergibt sich damit ein bloß partieller, funktions- bzw. bereichsspezi- 
fischer Grundrechtsschutz durch das Fernmeldegeheimnis des Art. 10 Abs. 1 


1182 BVerfGE 100, 313 (358); 113, 348 (383); 115, 166 (183 f); 120, 274 (309); Horn in: Isensee/ 
Kirchhof, HStR VII, $ 149, Rn. 101; Durner in: Maunz/Dürig, GG-Kommentar, Art. 10, Rn. 86; 
Gusy in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 10, Rn. 65; Eichenhofer, Der 
Staat 55 (2016), 41 (46 f). 

1183 Schwabenbauer, AöR 137 (2012), 1 (10); Eichenhofer, Der Staat 55 (2016), 41 (47). 

1184 Vgl. BVerfGE 100, 313 (359 ff); 110, 33 (53 ff); 120, 274 (316). 

1185 BVerfGE 100, 313 (358 f); 110, 33 (53); 115, 166 (189); 125, 260 (310). 
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Var. 3 GG. Er umfasst nur die Verwendungsweise digitaler Identitäten zur un- 
körperlichen Individualkommunikation. Soweit die Vertraulichkeit dieser Kom- 
munikation durch Selbstschutzmaßnahmen geschützt werden soll, sind ebendiese 
Maßnahmen ebenso vom Fernmeldegeheimnis gedeckt. Dass durch die Grund- 
sätze der Erforderlichkeit und Zweckmäßigkeit die Aggregation und Kumulation 
von Daten nach Möglichkeit vermieden wird, stellt lediglich einen Nebeneffekt 
des Art. 10 Abs. 1 Var. 3 GG und entsprechender einfachgesetzlicher Vorschriften 
dar. Der daraus resultierende positive Effekt wirkt sich eher auf den informationel- 
len Schutz und das Grundrecht auf informationelle Selbstbestimmung aus Art. 2 
Abs. 1 iVm 1 Abs. 1 GG aus. 


3. Informationelle Selbstbestimmung 


Wie bereits in informationeller Hinsicht!!86, scheint sich auch in technischer Hin- 
sicht der umfänglichste Schutz aus dem Grundrecht auf informationelle Selbst- 
bestimmung gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG zu ergeben. Die beschriebene 
Selbstbestimmtheit bei Datenverarbeitungsvorgängen setzt schließlich eine tech- 
nische Infrastruktur voraus. Diese Selbstverständlichkeit findet sich in der Magna 


11187 


Charta des Grundrechts — dem Volkszählungsurtei — höchstens im Ansatz: 


Den „moderne[n] Entwicklungen und [...] neuen Gefährdungen“, denen mit dem 


Grundrecht begegnet werden soll!!®8, 


muss sich auf Basis der Entwicklungs- 
offenheit des Grundrechts entsprechend modern gestellt werden. Es kann nicht 
ausreichen, auf technische Gefahren bloß rechtliche Mittel wie Unterlassungs- 
und Löschungsansprüche zu gewähren. Eher muss das im Grundrecht verankerte 
Bewusstsein über die eigene Datennutzung auch technische Schutzmaßnahmen 
einbeziehen. Hinsichtlich Zweck und Verknüpfungsmöglichkeiten „müssen der 
Informationserhebung und Informationverarbeitung innerhalb des Informations- 


systems zum Ausgleich entsprechende Schranken gegenüberstehen.“!!8” Damit 


1186 Siehe hierzu D.1.1.b). 

1187 BVerfGE 65, 1. 

1188 BVerfGE 65, 1 (42). 

1189 BVerfGE 65, 1 (48) — Hervorhebung durch den Bearbeiter. 
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benennt das Gericht Schranken innerhalb bzw. durch das System, was ein Indiz 
für den nunmehr normierten Ansatz des Privacy by Design/Default darstellen 
könnte. 


Erst bei späteren Urteilen zu technikbezogenen Eingriffen — namentlich zur Vor- 
ratsdatenspeicherung und zu Online-Durchsuchungen — dringt dieses Verständ- 
nis stärker durch. Hinsichtlich der Online-Durchsuchung informationstechnischer 
Systeme für die Persönlichkeitsentfaltung setzt das Gericht voraus, dass der Staat 
die mit Blick auf die ungehinderte Persönlichkeitsentfaltung berechtigten Erwar- 
tungen an die Integrität und Vertraulichkeit derartiger Systeme achtet.!!%° Im 
Wortlaut ähnelt die Passage stark dem später im Urteil definierten GGVIS!!°!, 
weshalb die Aussage die spätere Definition lediglich vorbereitet. Vor dem Hinter- 
grund technischer Selbstschutzmaßnahmen lässt sich die Passage allerdings auch 
derart verstehen, dass das verfassungsrechtliche Datenschutzgrundrecht durchaus 
technische Komponenten umfasst — sie sind aufgrund des entstandenen Schutz- 
bedürfnisses lediglich „nicht hinreichend“!!92. Im Hinblick auf die Vorratsdaten- 
speicherung erkennt das Bundesverfassungsgericht mit Blick auf Telekommuni- 
kationsverkehrsdaten den Grundsatz der Datensicherheit en detail an, wenn es 
konkrete Vorgaben für eine „Implementierung eines wirksamen Datenschutzes“ 
gibt.'!9 In weiteren Urteilen mit ähnlicher Zielrichtung verklingen aber jegliche 
Ausführungen hinsichtlich der Datensicherheit als technischer Aspekt des Schut- 
zes personenbezogener Daten. Diese Lücke wird auch nicht durch Entscheidungen 
des EuGH oder EGMR bezüglich Art. 8 GrC und Art. 8 EMRK gefüllt.'19* 


Konsultiert man die rechtswissenschaftliche Literatur in der Hoffnung auf eine 
verfassungsrechtliche Verankerung der Datensicherheit, so bleibt diese unerfüllt. 


1190 BVerfGE 120, 274 (306). 

1191 Siehe BVerfGE 120, 274 (313 ff). 

1192 BVerfGE 120, 274 (306). 

1193 BVerfGE 125, 260 (325/326). 

1194 Lediglich einfachgesetzliche Vorgaben fordernd EuGH, Urteil v. 08.04.2014, Az. C-293/12, 
Rn. 66. Ähnlich oberflächlich EGMR, U. v. 30.07.1998, Az. 58/1997/842/1048, Rn. 46: „the 
precautions to be taken in order to communicate the recordings intact and in their entirety for 
possible inspection“. 
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Die verfassungsrechtliche Literatur hält sich bei einer Positionierung dieser zu- 
rück oder geht von einem Bestehen innerhalb des Grundrechts auf informationelle 
Selbstbestimmung aus. Beispielsweise sieht Starck die „Integrität von Daten“ als 


Fallgruppe der informationellen Selbstbestimmung an!!” 


, Stern sieht „materiell- 
rechtliche, prozedurale und organisatorische Vorkehrungen zur Datensicherheit“ 
objektiv-rechtlich verankert!!”. In den Einzelheiten bleiben die Stimmen jedoch 
stumm. Konkreter werden nur Vertreter des (einfachgesetzlichen) Datenschutz- 
rechts, insbesondere in Bezug auf die Verpflichtung von Verantwortlichen zu 
Maßnahmen der Datensicherheit gem. Art. 24 Abs. 1,25 und 32 DSGVO. Expres- 
sis verbis sollen hiernach geeignete technische und organisatorische Maßnahmen 
vonseiten der Verantwortlichen eingesetzt werden, um die Sicherheit der Verarbei- 
tung und ein angemessenes Schutzniveau zu gewährleisten. Hierzu sind besonders 
frühzeitige Maßnahmen nach Art. 25 Abs. 1 DSGVO in Form der technischen 
Implementierung des Datenschutzes by Design (Hardware) und by Default (Soft- 
ware) zu berücksichtigen.''?” Im Übrigen sind Maßnahmen der verarbeitenden 
Stellen an den „Stand der Technik“ gebunden. Auffällig ist aber die in Art. 32 
Abs. 1 lit. b DSGVO definierte Anforderung an eine solche Maßnahme. Sie muss 
„die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der 
Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer“ sicher- 
stellen. Stellt man diesen Wortlaut den Schutzzielen der IT-Sicherheit, festgehalten 
in § 2 Abs. 2 BSI-G, gegenüber, gleichen sich diese in dem Schutz der „Verfügbar- 


keit, Unversehrtheit [bzw. Integrität] oder Vertraulichkeit von Informationen“!!%8. 


1195 Starck in: von Mangoldt/Klein/Starck, GG-Kommentar, Band I, Art. 2, Rn. 177. 

1196 Stern, StaatsR IV/1, S. 237. 

1197 Hartung in: Kühling/Buchner, DSGVO, Art. 25, Rn. 11, 14 ff und 24 ff; Schläger in: Schlä- 
ger/Thode, Handbuch Datenschutz und IT-Sicherheit, Teil G, Rn. 35 ff; Richter in: Jandt/ 
Steidle, Datenschutz im Internet, B.IV. Rn. 5. 

1198 $ 2 Abs. 2 BSI-G - Einfügung durch den Bearbeiter. 
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Darüber hinaus wird in der datenschutzrechtlichen Literatur der Begriff der Da- 
tensicherheit regelmäßig synonym mit der Systemsicherheit verwendet!” und die 
Definition der Schutzziele sowie Schutzmaßnahmen werden mittels Nomenklatur 
der IT-Sicherheit befüllt!?®?, Insofern schafft die Literatur keine klaren Verhältnis- 
se, derer sich aufgrund der unklaren gesetzlichen Auskleidung kaum zu entziehen 
ist. 


Hilfreicher ist dagegen der Blick auf die Historie des $ 9 BDSG a.F., der sich 
durch die Umsetzung der Datenschutz-Richtlinie 95/46/EG zum Knotenpunkt der 
Datensicherheit bei der Erhebung, Verarbeitung und Nutzung personenbezogener 
Daten entwickelte.!?"! Zweck (auch dieser) Regelung ist die (technische) Ab- 
wehr von Beeinträchtigungen des Persönlichkeitsrechts durch die automatisierte 
Verarbeitung personenbezogener Daten.'?® Die Einschränkung auf den Schutz 
personenbezogener Daten ergibt sich durch den Gesamtzweck des BDSG a.F. 
gem. $ 1 1!?0, wohingegen Art. 32 Abs. 1 lit. b DSGVO einen starken Systembe- 
zug aufweist. Letzterer lässt sich zwar ebenso durch die persönlichkeitsrechtlich 
geprägten Ziele des Art. 1 DSGVO einschränken. In der Literatur wird diese 
Überlegung aber kaum angestellt, wie sich anhand der Definition der Begriffe des 


1199 Beispielsweise Jandt in: Kühling/Buchner, DSGVO, Art. 32, Rn. 1; Albrecht/Jotzo, Das neue 
Datenschutzrecht der EU, $ 2, Rn. 14; Dix in: Roßnagel, Handbuch Datenschutzrecht, Kap. 
3.5, Rn. 1 ff; Roßnagel, MMR 2005, 71 (74) und Roßnagel, ZD 2018, 339 (341); Jandt, DuD 
2017, 562 (562); Lotz/Wendler, CR 2016, 31 (33); Schmidt-Jortzig, DÖV 2018, 10 (15); 
Hansen, DuD 2021, 234 (234 f.). Einzig differenzierend zwischen Systemdatenschutz und 
Systemschutz Hoffmann-Riem, AöR 134 (2009), 513 (532). Möglicherweise basiert dies auf 
der allgemeinen Formulierung der Definition der Datensicherheit in DIN 44300. 

1200 Hansen in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 32, Rn. 38 ff sowie 
vgl. Hansen, DuD 2021, 234 (234 f.); Jandt in: Kühling/Buchner, DSGVO, Art. 32, Rn. 22 
ff, 18; Schläger in: Schläger/Thode, Handbuch Datenschutz und IT-Sicherheit, Teil G, Rn. 29 
ff, Bizer, DuD 2007, 725 (727). Vgl. auch Karg in: Wolff/Brink, BeckOK DatenschutzR (28. 
Edition), BDSG 2003, $ 9, Rn. 8 f, 44 ff. 

1201 Zur Historie siehe nur Karg in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), BDSG 2003, 
$ 9, Rn. 4 ff. 

1202 So Karg in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), BDSG 2003, $ 9, Rn. 37 aE 
unter Verweis auf Wybitul, ZD 2013, 539 (540); Lotz/Wendler, CR 2016, 31 (33). 

1203 Karg in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), BDSG 2003, $ 9, Rn. 11. 
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Art. 32 Abs. 1 lit. b DSGVO durch das BSI-G und die dadurch geförderte ter- 
minologische Vermengung erkennen lässt.'?"* Systemsicherheit entspricht nach 
dieser Sichtweise der Datensicherheit. 


Dass diese Schlussfolgerung fehl geht, legt zunächst die erwähnte Einschränkung 
durch die Zweckstellung der Kodifikationen nahe. Offensichtlicher ist aber die ter- 
minologische Trennung zwischen System- und Datensicherheit. Wenngleich beide 
dieselben (Schutz-)Ziele verfolgen, ist der Bezugspunkt ein signifikant anderer: 


Datensicherheit bezieht sich, wie dargelegt, als Teil des Datenschutzes auf die Ge- 
währleistung der Sicherheit der Verarbeitung personenbezogener Daten. Der tech- 
nische, vorwiegend integritätsbezogene Begriff!?® ist also mit den datenschutz- 
rechtlichen Schutzzwecken aufzuladen. Die Aspekte der Verfügbarkeit, Integrität 
und Vertraulichkeit stellen Parameter für die Ermittlung dieser Sicherheit dar. Die 
Erweiterung der Kriterien ist durch den (notwendigerweise) entwicklungsoffenen 
Begriff stets möglich, wie sich am Kriterium der Resilienz in Art. 32 Abs. 1 lit. b 
DSGVO erkennen lässt!?°, In seiner sicherheitsgeprägten Lesart erscheint die Da- 
tensicherheit als status negativus der informationellen Selbstbestimmung, wenn 
„die technischen Systeme nur das können, was sie dürfen“ !?0”, Zugleich gewährt 
die Datensicherheit den status activus der informationellen Selbstbestimmung. 
Beispielsweise bedingen sich Verfügbarkeit und Integrität dahingehend, dass die 
stetige Verfügungsmöglichkeit über ein Datum einschließlich der Beständigkeit 
des Aussagegehalts die Selbstbestimmung stärkt.'?0® Zur Gewährleistung der Da- 
tensicherheit kann auf technische Mittel wie die Härtung von Hardware, aber auch 
organisatorische Aspekte im Umgang mit Datenschutzvorfällen, zurückgegriffen 


1204 Siehe Fn. 1200. 

1205 Siehe nur Eckert, IT-Sicherheit, S. 6: „Die Datensicherheit [...] ist die Eigenschaft eines funk- 
tionssicheren Systems, nur solche Systemzustände anzunehmen, die zu keinem unautorisierten 
Zugriff auf Systemressourcen und insbesondere auf Daten führen.“ Vgl. auch Jandt in: Hor- 
nung/Schallbruch, IT-Sicherheitsrecht, $ 17, Rn. 40; Brodowski in: Kipker, Cybersecurity, $ 
13, Rn. 80; ausführlicher Kipker, <kes> 2021, 61 ff. 

1206 Zum Kriterium siehe nur Gonscherowski/Hansen/Rost, DuD 2018, 442 ff. 

1207 Roßnagel, MMR 2005, 71 (74); vgl. Roßnagel in: Roßnagel, Handbuch Datenschutzrecht, Kap. 
3.4, Rn. 44 ff sowie Bizer, DuD 2007, 725 (726). 

1208 Vgl. Roßnagel, MMR 2005, 71 (74). 
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werden. 1209 


„Insoweit stehen Datensicherheit und Datenschutz nicht beziehungs- 
los nebeneinander, sondern bedingen sich gegenseitig“; sie bilden ein „gemein- 
sames Konzept“.!?!° Die Datensicherheit gewährleistet lediglich den technischen 
und organisatorischen Rahmen der Verarbeitung persönlichkeitsrelevanter Daten 


bzw. des Datenschutzes.!?!! 


Systemsicherheit bezieht sich dagegen unter Berücksichtigung der Definition in 
$ 2 Abs. 2 BSI-G lediglich auf Informationen als terminus technicus, was einen 
breiten Anwendungsspielraum eröffnet. Technisch ausgedrückt: „Die Informati- 
onssicherheit [...] ist die Eigenschaft eines funkionssicheren Systems, nur solche 
Systemzustände anzunehmen, die zu keiner unautorisierten Informationsverände- 
rung oder -gewinnung führen.“!?!? Demnach würde das BSI-G auch den Schutz 
personenbezogener Daten umfassen. Dem steht jedoch die übrige Formulierung 
des $ 2 BSI-G entgegen, da sich die Maßnahmen der IT-Sicherheit ausschließ- 
lich auf informationstechnische Systeme, Komponenten oder Prozesse sowie das 
jeweilige Äquivalent auf Anwendungsebene erstrecken. Folglich kommt es nicht 
auf die Gewährleistung der Schutzziele während der informationell relevanten 
Verarbeitung personenbezogener Daten, sondern auf den Schutz des Systems und 
einzelner Prozesse als solche an. Dieser besteht beispielsweise in der „Vorgabe von 
allgemeinen technischen Richtlinien für die Sicherheit, von konkreten Vorgaben 
für die Konfiguration der Informationssicherheit im Einzelfall und Maßnahmen 
zur Abwehr konkreter Gefahren.“!?!3 Die weitere Konzeption der Aufgaben des 
Bundesamts für Sicherheit in der Informationstechnik gem. $ 3 Abs. 1 BSI-G 
bestätigt dies. Unter anderem widmet sich das Gesetz der Abwehr von Schad- 
programmen ($ 2 Abs. 5 BSI-G) und Sicherheitslücken ($ 2 Abs. 6 BSI-G) - 


1209 Vgl. Schuster, CR 2020, 726 (729). 

1210 Karg in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), BDSG 2003, $ 9, Rn. 11 aE und 
14 aE; vgl. auch Roßnagel in: Roßnagel, Handbuch Datenschutzrecht, Kap. 3.4, Rn. 48 und 
Lotz/Wendler, CR 2016, 31 (34). 

1211 Karg in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), BDSG 2003, $ 9, Rn. 12; Bi- 
zer, DuD 2007, 725 (727). 

1212 Eckert, IT-Sicherheit, S. 6. 

1213 So die Begründung der Novelle des BSI-G, siehe BT-Drs. 16/11967, S. 10. Hiervon ist der 
Begriff des Systemdatenschutzes abzugrenzen — ausführlich dazu Dix in: Roßnagel, Handbuch 
Datenschutzrecht, Kap. 3.5, Rn. 1 ff. 
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wenn auch nur der Informationstechnik des Bundes. Dementsprechend weist die 
Schutzrichtung eine Nähe zum GGVIS auf.!?!* 


Festzuhalten ist somit, dass Datensicherheit und Systemsicherheit nicht synonym 
sind, sondern eigenständige Aspekte darstellen.'?!5 Die synonyme Bezeichnung 
erklärt sich aus der Historie des $ 9 BDSG a.F., der vornehmlich den Schutz der 
heimischen informationstechnischen Geräte und Verarbeitungsvorgänge beabsich- 
tigte. Dieser Gedanke lässt sich mit der heute vernetzten Gesellschaft und Dyna- 
mik der technischen Entwicklung nicht vereinbaren. !?!6 Daher ist die im Bereich 
des Individuums liegende Datensicherheit von der überwiegend der Kontrolle 
entzogenen Systemsicherheit zu trennen. Dennoch bedingen sich beide Aspek- 
te in Abhängigkeit des Einzelfalls. Die Systemsicherheit kann sich denklogisch 
schon begünstigend auf die Datensicherheit auswirken, wenn sich die jeweilige 
Sicherheitsmaßnahme auch auf Verarbeitungsprozesse personenbezogener Daten 
erstreckt.!?!7 So wirkt sich ein Penetrationstest zur Überprüfung der Netzwerksi- 
cherheit eines Unternehmens sowohl auf den Schutz der gesamten Infrastruktur 
als auch die darin befindlichen Daten aus; entsprechend handelt es sich um eine 
technische Maßnahme iSd Art. 32 DSGVO.!?!® Umgekehrt können Maßnahmen 
der Datensicherheit allerdings nur bedingt auf die Systemsicherheit auswirken, da 
sie per Definition nur einzelne Prozesse umfasst. Die Datensicherheit ist daher 


nur ein „flankierendes Element der informationellen Selbstbestimmung“. 1219 


1214 Hierzu sogleich sub D.II.4. 

1215 Mit gleichem Ergebnis auch Freimuth, Gewährleistung der IT-Sicherheit, S. 79 ff, 81 sowie 
Jandt in: Hornung/Schallbruch, IT-Sicherheitsrecht, $ 17, Rn. 2 ff sowie vertiefend zu Unter- 
schieden Rn. 12 ff. 

1216 Karg in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), BDSG 2003, $ 9, Rn. 2; Ger- 
ling, DuD 1997, 197 (197). 

1217 Vgl. Karg in: Wolff/Brink, BeckOK DatenschutzR (28. Edition), BDSG 2003, $ 9, Rn. 28a, 18. 

1218 Hierzu ausführlich Deusch/Eggendorfer, K&R 2018, 223 (226 ff). Dagegen zwischen Verar- 
beitungen zum Zweck der Netz- und Informationssicherheit iSd ErwGr 49 und technischen 
und organisatorischen Maßnahmen der Art. 25, 32 DSGVO differenzierend Jandt in: Hornung/ 
Schallbruch, IT-Sicherheitsrecht, $ 17, Rn. 58. 

1219 Bizer, DuD 2007, 725 (725, 727). 
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Folglich kann bezüglich der technischen Ausrichtung des Grundrechts auf in- 
formationelle Selbstbestimmung in Form der Datensicherheit aus verfassungs- 
rechtlicher Rechtsprechung und Literatur keine Definition übernommen werden. 
Einfache Gesetze können hierzu ebensowenig beitragen. Dennoch lässt sich aus 
der wiederholten Regelung einzelner Anforderungen der Datensicherheit in $ 9 
BDSG a.F. und Art. 24, 25 sowie 32 DSGVO ableiten, dass der nationale wie 
europäische Gesetzgeber stets von einer gesetzgeberischen Prärogative in diesem 
Bereich der informationellen Selbstbestimmung ausgeht. Dementsprechend be- 
greift dieser seine Grundrechtsbindung aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG qua 
objektiver Funktion des Grundrechts.!?® Die Sicherheit der Datenverarbeitung 
weist als Teil des Datenschutzes einen Gemeinwohlbezug auf,!??! der sich in 
einer Schutzpflicht des Staates erschöpft. Der Staat hat insofern entsprechende 
Instrumente und Maßnahmen zum Schutz vor ungesicherter Datenverarbeitung 
personenbezogener Daten zu nutzen, um die zunehmende Digitalisierung und 
Entkopplung vom Einzelgerät durch kontextualisierte, verknüpfte mobile Geräte 
(z.B. SmartWatch und Fitness-Tracker für Fitness-Anwendungen, Mobiltelefon 
als ortsungebundenes Multimedia-Gerät) nicht zur Gefahr für die digitalen Iden- 
titäten der Grundrechtsträger werden zu lassen. Leider zeichnet sich diesbezüglich 
eine sog. Plug-and-Play-Falle ab, die in einer „spielerisch-einfache[n] Gestaltung 
von IT-Umgebungen“ resultiert.'””” Beispielsweise geht die Anmeldung mit ei- 
nem Facebook-, Google- oder Apple-Nutzerkonto bei anderen Diensten bedeutend 
leichter von der Hand, wohingegen das dabei entstehende potentielle Sicherheitsri- 
siko - z.B. bei einem schwachen Passwort des Hauptkontos bei besagten Dienste- 
anbietern — verschwiegen wird. Schließlich gefährdet dies z.T. sensible Daten des 
Nutzers im Falle eines Identitäts(daten)diebstahls in einem bedeutend größeren 
Ausmaß. Um diesem Herr zu werden, kann der Gesetzgeber entsprechende Vor- 
gaben beim Angebot von identitätsbezogenen Dienstleistungen treffen. Hier steht 
dem Gesetzgeber unter Berücksichtigung unternehmerischer Grundrechte (Art. 12 
Abs. 1, 14 Abs. 1 GG) ein weiter Handlungsspielraum zu. Zum Beispiel könnte er 


1220 Hierzu grundlegend C.II. 
1221 Vgl. Wybitul, ZD 2013, 539 (539). 
1222 Hierzu ausführlich Heckmann, NJW 2012, 2631 (2633). 
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auf eine Zertifizierung von Diensten mit besonderer persönlichkeitsschützender 


1223 


Ausrichtung zurückgreifen 4^, unmittelbare und verpflichtende Anforderungen 


an Hersteller!??* kodifizieren oder ein Recht auf datenerhebungsfreie Produkte!?? 
bzw. Angebote manifestieren. Demgemäß besteht sowohl eine subjektive als auch 
objektive Schutzrichtung der Datensicherheit, die in den jeweiligen Funktionen 
des Grundrechts auf informationelle Selbstbestimmung gem. Art. 2 Abs. 1 iVm 1 


Abs. 1 GG aufgeht. 


Die digitale Identität genießt vor diesem Hintergrund in technischer Hinsicht 
wie schon informationell vollumfänglichen Schutz durch das Grundrecht auf in- 
formationelle Selbstbestimmung. Soweit ein Personenbezug aufgrund der Refe- 
renzierung der einzelnen Identitätsdaten möglich ist, findet das Grundrecht in 
seinem dargelegten subjektiven und objektiven Schutzgehalt Anwendung. Subjek- 
tiv ist der Inhaber der digitalen Identität gegenüber technikbezogenen Eingriffen 
Grundrechtsgebundener (status negativus) und im Einzelfall durch die Nutzungs- 
möglichkeit präventiv wirkender, technischer Mittel (status activus) ermächtigt. 
Objektiv kommt dagegen der Gewährleistungsgehalt des Grundrechts zur Geltung, 
indem der Staat effektive Mittel zur Förderung subjektiver Grundrechtselemente 


1223 Den Grundstein hierfür legen bereits Art. 42, 43 DSGVO. 

1224 Vermeintlich sind diese in Art. 25, 32 DSGVO geregelt, welche die Implementierung technischer 
Maßnahmen expressis verbis regeln. Beide Schlüsselnormen sind jedoch nur an Verantwortliche 
und Auftragsverarbeitende gerichtet, sodass Hersteller ohne eine der beiden Eigenschaften nicht 
daran gebunden sind, Informationstechnik von Beginn an datenerhebungsarm zu entwickeln. 
Dies wurde auch in der datenschutzrechtlichen Literatur bemängelt, siehe nur Hansen in: Simi- 
tis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 32, Rn. 15; Schläger in: Schläger/ 
Thode, Handbuch Datenschutz und IT-Sicherheit, Teil G, Rn. 7; Richter in: Jandt/Steidle, Da- 
tenschutz im Internet, B.IV., Rn. 13, 33. Sieht man diese Norm als Mittel zur Regulierung 
namhafter Hersteller und Anbieter von IT-Diensten, erklärt sich die Formulierung der Normen. 
Dann tragen sie allerdings nicht zu einer grundsätzlichen Erhöhung der Datensicherheit bei; 
das Kriterium der Datenschutzfreundlichkeit und Datensicherheit muss sich als Kaufargument 
bzw. Feature etablieren. Der Sinn und Zweck der Regelung wäre verfehlt. Kritisch muss ei- 
ner derartigen datenschutzrechtlichen Verpflichtung jedoch entgegengehalten werden, dass eine 
Verpflichtung des Herstellers ohne Verarbeitungskontext aus der Systematik und dem Zweck 
des Datenschutzrechts herausfällt — so Schulz, CR 2012, 204 (207). Ob sich dies durch das 
Produkthaftungsgesetz regeln lässt, indem die Datenerhebung bei bestimmten Produkten als 
Produktfehler anerkannt wird — so Becker, JZ 2017, 170 (180) — bleibt an anderer Stelle zu 
erörtern. 

1225 Hierzu Becker, JZ 2017, 170 (175 ff). 
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oder zum Schutz des Grundrechtsträgers schon vor der Datenverarbeitung er- 
wägt. In jedem Fall ergänzt die Datensicherheit als technikgeprägte Lesart den 
verfassungsrechtlichen Datenschutz der digitalen Identität. 


4. Recht auf Gewährleistung der Vertraulichkeit und 
Integrität informationstechnischer Systeme 


2 . 
1226 Zu widmen, 


Abschließend ist sich dem verfassungsrechtlichen Systemsschutz 
der durch das Grundrecht auf Gewährleistung der Vertraulichkeit und Integri- 
tät informationstechnischer Systeme verkörpert wird. Wie auch das Grundrecht 
auf informationelle Selbstbestimmung, ist dieses Grundrecht durch die Recht- 
sprechung des Bundesverfassungsgerichts aus der Taufe gehoben worden, da das 
Allgemeine Persönlichkeitsrecht und weitere Schutzgehalte der Konjunktion von 
Art. 2 Abs. 1 und 1 Abs. 1 GG keinen ausreichenden Schutz boten.!??’ Ob die 
digitale Identität ihrerseits hierin Schutz findet, ist anhand der Definition des 
Grundrechts in Abgrenzung zur dargestellten Datensicherheit des Art. 2 Abs. 1 


iVm 1 Abs. 1 GG zu untersuchen. 


Titelgebend umfasst das Grundrecht den Schutz jeglicher informationstechnischer 


1228 iber die „allein oder 


1229 


Systeme. Dabei handelt es sich um eigengenutzte Systeme 
zusammen mit anderen zur Nutzung berechtigten Personen [...] verfügt“ wird 
Als informationstechnische Systeme qualifiziert sie gemäß Rechtsprechung die 
Eigenschaft, „personenbezogene Daten erzeugen, verarbeiten oder speichern“ zu 


1226 Ganz h.M. — BVerfGE 120, 274 (313) sowie Beschluss vom 8.6.2021 — Az. 1 BvR 2771/18 
—, Rn. 29 = ZD 2021, 685; Hoffmann etal., Die digitale Dimension der Grundrechte, S. 70 
f, Freimuth, Gewährleistung der IT-Sicherheit, S. 155 f; Taraz, GGVIS und Gewährleistung 
digitaler Privatheit, S. 50 f, Hoffmann-Riem, JZ 2008, 1009 (1013); Luch, MMR 2011,75 (75). 
Vgl. auch Rudolf in: Merten/Papier, HGr IV, $ 90, Rn. 79; Hoffmann-Riem, AöR 134 (2009), 
513 (532). Dagegen auf den Schutz personenbezogener Daten reduzierend Dralle, GGVIS, S. 
31. 

1227 BVerfGE 120, 274 (313). 

1228 Hoffmann-Riem, JZ 2008, 1009 (1019); Hoffmann-Riem, AöR 134 (2009), 513 (530). 

1229 BVerfGE 120, 274 (315). 


262 


II. Technische Betrachtungsweise 


1230 1231 1232 


können — unabhängig technischer Begriffe oder kritischer Diskurse 
Von Bedeutung ist zudem die Vernetztheit des Systems. Wenngleich dies kei- 
ne eigenständige Voraussetzung für das IT-System darstellt!???, legt das Gericht 
diesen Schwerpunkt bei der Skizzierung der grundrechtlichen Gefährdungslage. 
Expressis verbis erstreckt es den Schutz aber auf Systeme, die „allein oder in ih- 
ren technischen Vernetzungen personenbezogene Daten“ offenlegen könnten. Es 


schließt damit Gefährdungen nicht-vernetzter Systeme'!?* 


ein, sofern das System 
„personenbezogene Daten des Betroffenen in einem Umfang und in einer Vielfalt 
enthalten [kann], dass ein Zugriff [...] es ermöglicht, einen Einblick in wesentliche 
Teile der Lebensgestaltung der Persönlichkeit zu erhalten.“!235 Dieser „Zusam- 
menhang von Entfaltungsfreiheit und Informationstechnik hat sich seitdem noch 
verstärkt. Die Umstellung ehemals analoger Vorgänge auf digitale Prozesse [...] 
erhöhlt] die Abhängigkeit von Informationstechnologie ständig weiter.“!*6 Der 
ideenhistorische Ursprung des Allgemeinen Persönlichkeitsrechts begrenzt folg- 
lich den Gehalt des Grundrechts auf Systeme, denen potentiell ein Personenbezug 


innewohnt; auf die tatsächliche Datenqualität und -menge kommt es nicht an.1?37 


1230 BVerfGE 120, 274 (313). 

1231 Siehe nur Eckert, IT-Sicherheit, S. 3: „Ein IT-System ist ein geschlossenes oder offenes, dyna- 
misches technisches System mit der Fähigkeit zur Speicherung und Verarbeitung von Informa- 
tionen.“ 

1232 Ausführlich Dralle, GGVIS, S. 29 ff; Heinemann, Grundrechtlicher Schutz informationstech- 
nischer Systeme, S. 37 ff; Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 22 ff; 
Freimuth, Gewährleistung der IT-Sicherheit, S. 155 fin Abgrenzung zum einfachgesetzlichen 
Begriff des IT-Systems; Eifert, NVwZ 2008, 521 (522 f), Hornung, CR 2008, 299 (302 f); 
; Sachs/Krings, JuS 2008, 481 (484); Hoeren, MMR 2008, 365 (365 f). Unabhängig vom 
Personenbezug auf sämtliche aktive und inaktive IT-Systeme und -Komponenten erstreckend 
Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 22. Zutreffend differenzie- 
rend im Einzelfall auf die aktive Recheneinheit oder den potentiellen Quantität und Qualität 
der Daten abstellend Hornung, CR 2008, 299 (303) sowie Dralle, GGVIS, S. 30; vgl. auch 
Böckenförde, JZ 2008, 925 (929). 

1233 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 27 mwN. Vgl. auch Dralle, GG- 
VIS, S. 32; Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 30; Hornung, CR 2008, 
302. Scheinbar anders Zuch, MMR 2011, 75 (76). 

1234 Derartige Gefährdungen beschreibend Herrmann, GGVIS, S. 27. 

1235 BVerfGE 120, 274 (314) — Einfügungen nicht im Original enthalten. 

1236 BVerfG, Beschluss vom 8.6.2021 - Az. 1 BvR 2771/18-, Rn. 33 = ZD 2021, 685 - Einfügungen 
nicht im Original enthalten. 

1237 Hornung, CR 2008, 299 (302); Böckenförde, JZ 2008, 925 (928). 
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Das Potential ist stets einzelfallbezogen zu ermitteln'??®, weshalb auch dieses 


Grundrecht aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG als technisch und kontextuell 
entwicklungsoffen bezeichnet werden kann. Es fängt also auch einst vom Bun- 
desverfassungsgericht als Negativ-Beispiel erwähnte, nunmehr moderne Modelle 
der Heimvernetzung zur Steuerung der Haustechnik — kurz: Smart Home — wie 
Smart-Metering-Geräte!”? auf. 


Der Schutz des jeweiligen informationstechnischen Systems ist in zweierlei Hin- 
sicht zu gewährleisten!?*°: Vertraulichkeit und Integrität. Die Vertraulichkeit be- 
zieht sich zunächst auf das Interesse des Nutzers, dass die in einem informations- 
technischen System gespeicherten Daten vertraulich bleiben.!?*! Sie konkretisiert 
damit das im Allgemeinen Persönlichkeitsrecht wurzelnde Recht der Selbstbe- 
wahrung.'?* Das Vertraulichkeitsinteresse generiert sich aus der Eigennnutzung 
des informationstechnischen Systems.'?*? Der Aspekt weist damit einen deut- 
lichen (Grundrechts-)Subjektbezug'?** auf, indem der auf Nutzerseite bei bzw. 
nach Nutzung des Systems entstehende „Zustand zwischen Wissen und Nichtwis- 


sen“1245 


über technische Einzelheiten zu einem verfassungsrechtlich geschützten 
Interesse erwächst. Auf diese Weise wird nicht nur die subjektive wie individuelle 
Persönlichkeitsentfaltung berücksichtigt.'?*° Gleichermaßen begegnet das Ge- 
richt der Ohnmacht aufgrund zunehmender technischer Komplexität. Der Grund- 


rechtsträger kann einzelne Verarbeitungsvorgänge und technische Gegebenheiten 


1238 Vgl. Albers, DVBl 2010, 1061 (1068); Herrmann, GGVIS, S. 129: „Probleme bei der Anwen- 
dung ergeben sich somit nicht aus dogmatischen Gesichtspunkten, sondern aus der Klassifizie- 
rung der vielfältigen technischen Gerätschaften.“ 

1239 Zu dieser Problematik in informationeller Hinsicht bereits D.I.1.d)aa)(3). 

1240 Dem im Titel enthaltenen Gewährleistungsaspekt kommt keine eigenständige Bedeutung zu; 
sie ist Grundrechten genuin — Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, 
Rn. 29; vertiefend und als bloße Zielstellung des Grundrechts darlegend Taraz, GGVIS und 
Gewährleistung digitaler Privatheit, S. 44 ff. Nunmehr bestätigt durch BVerfG, Beschluss vom 
8.6.2021 - Az. 1 BvR 2771/18 —, Rn. 33 f = ZD 2021, 685. 

1241 BVerfGE 120, 274 (314). 

1242 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 28. 

1243 BVerfGE 120, 274 (314, 315). 

1244 So auch Luch, MMR 2011, 75 (75). 

1245 Derart den Begriff der Vertrautheit definierend Simmel, Soziologie — Untersuchungen über die 
Formen der Vergesellschaftung, S. 274. 

1246 Böckenförde, JZ 2008, 925 (928). 
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nicht mehr im Einzelnen überblicken und muss auf den subjektiven Eindruck des 


Systems vertrauen.'?*’ Dies bietet die Grundlage für ein erwartetes!?* 


1249. Das unspezifische Vertrauen bezieht sich dann generell 


,systembe- 
zogenes Vertrauen 
darauf, daß [sic] jedes dieser Systeme in seiner Spezifikation seinen funktio- 
nalen Erwartungen gerecht wird.“!?0 Dies wird je nach Einzelfall durch den 
Kontrollverlust an Daten verstärkt.'??! Der These „Vertrauen ‚in die Technik‘ gibt 
es nicht“!?5? kann daher schon aus den psychologischen Gesichtspunkten nicht 
zugestimmt werden'”°?, die das Urteil des Bundesverfassungsgericht mit der auf- 
gezeigten Attribuierung von Vertrauen aufgreift. Demgemäß ist die Komplexität 
des Systems qua Vernetzung oder Persönlichkeitsrelevanz der Daten Vorausset- 
zung des Grundrechts und der Vertraulichkeit. !?* 


Dieser subjektive Aspekt des Grundrechts wird durch den objektiven Aspekt 
der Integrität begrenzt. So ist die Integrität durch den Zugriff auf das informa- 
tionstechnische System bedroht; „die entscheidende technische Hürde für eine 


Ausspähung, Überwachung oder Manipulation des Systems [ist] genommen. “1255 


Sie knüpft ausschließlich an der objektiven Unberührtheit des Systems an!?°®, 
ohne auf subjektiv wahrnehmbare Mängel des Systems (z.B. merkliche Änderung 
der Reaktionsgeschwindigkeit des Systems, auffälliges Verhalten) einzugehen. Für 


eine Beeinträchtigung des Grundrechts in dieser Hinsicht reicht das Überwinden 


1247 Vgl. Hoffmann-Riem, JZ 2008, 1009 (1012 f); Heinemann, Grundrechtlicher Schutz informa- 
tionstechnischer Systeme, S. 148/149. Dementgegen setzt Luch, MMR 2011, 75 (76) für die 
Vertraulichkeitserwartung die Kenntnis des kompletten Datenbestandes voraus. 

1248 Im Einzelnen zur Abgrenzung von Vertraulichkeitsinteresse und -erwartungen im Urteil des 
BVerfG Sachs/Krings, JuS 2008, 481 (484). 

1249 Hoffmann-Riem, JZ 2008, 1009 (1012). 

1250 Ausführlich zum psychologischen Hintergrund Wagner, Zeitschrift für Soziologie 1994, 145 
(150 f). 

1251 Vgl. Eichenhofer, Der Staat 55 (2016), 41 (51). 

1252 So Eichenhofer, Der Staat 55 (2016), 41 (53) mwN; auch Hoeren, MMR 2008, 365 (365). 

1253 Im Ergebnis ebenso Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 40 f. 

1254 Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 24 f, Luch, MMR 2011, 75 (76). 
Letztlich argumentum e contrario bzgl. BVerfGE 120, 274 (313). 

1255 BVerfGE 120, 274 (314). 

1256 Böckenförde, JZ 2008, 925 (928); vgl. Luch, MMR 2011, 75 (75). 
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der beschriebenen technischen Hürde und der potentielle Zugriff auf die Sys- 
teminhalte bereits aus. Der Integritätsschutz setzt damit vor der Erlangung und 
Verarbeitung der Daten an und verlagert den grundrechtlichen Schutz zeitlich 
vor.!?57 Insoweit ist es von der informationellen Integrität zu differenzieren, die 


sich lediglich auf den Erhalt des Informationsgehaltes von Daten bezieht. !?® 


Die einander konträren, nebeneinanderstehenden Schutzkomponenten!?? sind 
jedoch nicht voneinander isoliert anzuwenden, sondern beziehen sich aufeinander. 
Die Integrität des Systems wird durch den Aspekt der Vertraulichkeit subjektiviert 


und die Verdinglichung des Grundrechts!?6 


aufgelöst, indem deren funktionaler 
Bezug berücksichtigt wird.!?°! Sie beziehen sich letztlich auf dasselbe Schutzgut: 
Den Schutz des digitalen bzw. technikgerichteten Vertrauens und dahingehender 


Erwartungen. !?6? 


Dennoch ist fraglich, ob der Schutz der Vertraulichkeit und Integrität nicht in 
den dargestellten gleichnamigen Aspekten der informationellen Selbstbestimmung 
aufgeht. Das GGVIS stützt sich auf das IT-System im Hinblick auf seine Verwund- 
barkeit, die durch Ausnutzung technischer Mängel einen Rückgriff auf informa- 
tionelle bzw. persönlichkeitsrelevante Gehalte des Systems ermöglicht.!?% Die 
zur Lösung notwendige Abgrenzung zur informationellen Selbstbestimmung iSd 
Art. 2 Abs. 1 iVm 1 Abs. 1 GG ist entsprechend diffizil und kreist seit dem Urteil 
des Bundesverfassungsgerichts um Systeme, die „personenbezogene Daten des 
Betroffenen in einem Umfang und in einer Vielfalt enthalten können, dass ein 


1257 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 28; Taraz, GGVIS und Gewähr- 
leistung digitaler Privatheit, S. 43, ausführlich S. 46 ff; Heinemann, Grundrechtlicher Schutz 
informationstechnischer Systeme, S. 150; Hoffmann-Riem, JZ 2008, 1009 (1016); Böckenför- 
de, JZ 2008, 925 (928); Hornung, CR 2008, 299 (303). 

1258 Hierzu sub D.1.1.c). 

1259 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 28. 

1260 Hornung, CR 2008, 299 (302); Britz, DÖV 2008, 411 (412); vgl. auch Eifert, NVwZ 2008, 
521 (522). 

1261 Luch, MMR 2011, 75 (75); Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 28. 

1262 Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 50; Hoffmann-Riem, JZ 2008, 1009 
(1012); vgl. auch Berger, DVBl 2017, 804 (805 f). 

1263 Exemplarisch hierzu BVerfG, Beschluss vom 8.6.2021 - Az. 1 BvR 2771/18 -, Rn. 34 ff = ZD 
2021, 685. 
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Zugriff auf das System es ermöglicht, einen Einblick in wesentliche Teile der 
Lebensgestaltung einer Person zu gewinnen [...].“!”6* Der damit herausgestellte 
quantitative Aspekt ist bislang in der Literatur maßgebend. '?6° Formelhaft: Liegt 
ein Eingriff in ein System zur Erlangung eines großen Datenbestandes vor, ist das 
GGVIS einschlägig — auch wenn es sich im Kern um eine Erlangung nur einzel- 
ner Daten handelt.'? Hierin künden sich bereits Abgrenzungsprobleme anhand 
der Datenmenge an.!?67 Diese sind jedoch derart zu verstehen, dass eine Abgren- 
zung nicht nur anhand der Quantität erhobener Daten gelingen kann. Bedenkt 
man den unterschiedlichen Aussagegehalt einzelner Daten nach aktuellem Stand 
der Technik, mag man das Abwenden von „Daten mit punktuellem Bezug“!?% in 
Zweifel ziehen. Je nach Datum und Informationsgehalt kann der punktuelle Bezug 
durchaus persönlichkeitsrelevant sein, beispielsweise bei Informationen über den 
Gesundheitszustand auf Basis eines kontinuierlich verwendeten Pulsmessgerätes. 
Ein Eingriff zur Erhebung dieser Daten unterscheidet sich gemäß dem Urteil des 
Gerichts bei diesen eindimensionalen informationstechnischen Systemen nicht zu 
übrigen Eingriffen dieser Art.'?6° Sodann bliebe aber der Integritätsschutz dieser 
Systeme offen und der lückenschließende Schutz durch das GGV IS selbst lücken- 
haft. Diese Lücke kann auch das Grundrecht auf informationelle Selbstbestim- 
mung bei Besehen seines persönlichkeitsbezogenen Schutzzwecks nicht ausfüllen. 


Es dient wie gezeigt!” 


vielmehr der Hoheit und Souveränität über eigene Daten, 
als dass der datenbezogene Integritätsschutz sich auch auf die Technik erstreckt. 
Anderenfalls würde das Grundrecht auf informationelle Selbstbestimmung als all- 


umfassendes Digitalgrundrecht verkommen; der datenschutzrechtliche Kern der 


1264 BVerfGE 120, 274 (314). 

1265 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 23, 24 aE; Eifert, NVwZ 2008, 
521 (521 f); Hornung, CR 2008, 299 (301 f); Gurlit, NJW 2010, 1035 (1037); Hoeren, MMR 
2008, 365 (366). 

1266 Vgl. die Faustformel von Hoffmann-Riem, JZ 2008, 1009 (1019); Bantlin, JuS 2019, 669 (670). 

1267 So Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 23, 25; vgl. auch Kur- 
scha, NJW 2008, 1042 (1043). 

1268 So BVerfGE 120, 274 (313). 

1269 Vgl. BVerfGE 120, 274 (313). 

1270 Sub D.1.1.d)aa)(3). 


267 


D. Konkrete Schutzaspekte kraft Verfassungsrecht 


Volkszählungsentscheidung und die Auffangfunktion des Allgemeinen Persön- 
lichkeitsrechts des Art. 2 Abs. 1 iVm 1 Abs. 1 GG bliebe unberücksichtigt. Unter 
Würdigung des im Urteil zur Online-Durchsuchung dargelegten Schutzerforder- 
nisses — „um neuartigen [persönlichkeitsrechtlichen] Gefährdungen zu begegnen, 
zu denen es im Zuge des wissenschaftlich-technischen Fortschritts und gewan- 


delter Lebensverhältnisse kommen kann“!?”! 


— ist also sowohl der quantitativ wie 
qualitativ potentielle Aussagegehalt der Daten eines Systems und der Nutzungs- 
kontext zu berücksichtigen. Mithin eignet sich das Kriterium der Quantität allein 
entgegen der h.M. nicht in jedem Fall zur Abgrenzung und bedarf der dargelegten 


Ergänzung. 


Diesem Ansatz kann allerdings (weiterhin) entgegnet werden, dass die Einbezie- 
hung der Qualität für eine erweiterte Verhältnismäßigkeitsprüfung des Grund- 
rechts auf informationelle Selbstbestimmung und gegen die Notwendigkeit des 
GGVIS spricht.'?7? Würde eine einheitliche und umfängliche Prüfung unter dem 
Grundrecht auf informationelle Selbstbestimmung erfolgen, würde nicht nur die 


11273 


Prüfungsstruktur des Grundrechts überdehn , sondern auch dessen Schutzrich- 


t!?74, Wie bereits in informationeller Hinsicht dargelegt'?’°, steht das 


tung verkann 
Grundrechtssubjekt und die aktive wie passive Ausübung der Datensouveränität 
im Mittelpunkt seines grundrechtlichen Schutzes. Sämtliche Fragmente dieses 
Grundrechts unterstützen oder ermöglichen erst dieses selbstbestimmte Dasein. 


Weiter gestaltet sich die Gefährdung durch das Verdrängen aus der Position des 


1271 BVerfGE 120, 274 (303). 

1272 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 23; Eifert, NVwZ 2008, 521 
(521 f); Hoeren, MMR 2008, 365 f; Sachs/Krings, JuS 2008, 481 (483); krit. auch Britz, DÖV 
2008, 411 (413 f). Dagegen für eine Notwendigkeit Böckenförde, JZ 2008, 925 (928); Hoffmann- 
Riem, JZ 2008, 1009 (1015 ff) sowie vgl. Hoffmann-Riem, AöR 134 (2009), 513 (530 f); 
Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 207 ff, Herrmann, GGVIS, S. 85; 
Heinemann, Grundrechtlicher Schutz informationstechnischer Systeme, S. 147 f. 

1273 So Böckenförde, JZ 2008, 925 (928); Taraz, GGVIS und Gewährleistung digitaler Privatheit, 
S. 204. 

1274 Mit ähnlichem Ergebnis auch Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 180 f. 

1275 Siehe D.1.1.b). 
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Datensouveräns. Das GGVIS dagegen legt den Schwerpunkt nur „mittelbar und in- 
strumentell“!?7° auf den Datensouverän. Geschützt ist das informationelle System 
als Gefäß von Informationen aus menschlichen Interaktionen, seien sie bewusst 
oder unbewusst (z.B. Telemetrie- und Funktionsdaten)!?’’ zugeführt. Es inkorpo- 
riert so subjektive Interessen und wird zum Vehikel des Grundrechtsschutzes.!?7® 
Die charakteristische Gefährdungslage des Grundrechts gestaltet sich vehikelbe- 
zogen durch Masseneingriffe, Heimlichkeit bzw. Vertraulichkeitsverletzungen und 
mangelnde Kenntnisnahme- und Rechtsschutzmöglichkeiten des Grundrechtsträ- 
gers.'”” Das initiierende Urteil des Bundesverfassungsgerichts adressiert schon 
im Namen die Integrität und Bestandskraft des Systems und übergibt den Schutz 
und Erhalt dieser komplexen Gefäße dem Staat. Dazu gehört iSe Schutzpflicht 
auch die Aufgabe, die Verwirklichung von Risiken bei entsprechender Kenntnis — 
z.B. in Form von bestehenden IT-Sicherheitslücken — zu vermeiden und nach Mög- 
lichkeit abzuwenden. !?®° Insofern wird der technisch bestehende Schutzwall'?®! 
normativ-verfassungsrechtlich gehärtet.'?®? Das Grundrecht auf informationelle 
Selbstbestimmung weist demgemäß eine deutlich subjektive, den Grundrechtsträ- 
ger im Zentrum sehende Perspektive auf, während das GGVIS dieses Zentrum 
umgibt und als Grundlage der Datensouveränität dient. 


Die vorangehende Gegenüberstellung zeigt deutlich, dass es keine Gründe für 
eine mangelnde Notwendigkeit des GGVIS gibt und es ebensowenig durch das 
Grundrecht auf informationelle Selbstbestimmung zu ersetzen ist. Auch wenn 


1276 Vgl. Eifert, NVwZ 2008, 521 (522). 

1277 BVerfGE 120, 274 (305); Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 32; 
Hoffmann-Riem, JZ 2008, 1009 (1016 f); Böckenförde, JIZ 2008, 925 (928). 

1278 Böckenförde, JZ 2008, 925 (928). 

1279 BVerfGE 120, 274 (314) sowie Beschluss vom 8.6.2021 — Az. 1 BvR 2771/18 —, Rn. = ZD 
2021, 685; Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 178; Böckenförde, JZ 
2008, 925 (928). 

1280 Grundlegend BVerfG, Beschluss vom 8.6.2021 — Az. 1 BvR 2771/18 —, Rn. 34 ff = ZD 2021, 
685. 

1281 Hoffmann-Riem, JZ 2008, 1009 (1017). 

1282 Hornung, CR 2008, 299 (302). 
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es berechtigte Gründe eines bestehenden Schutzes der Vertraulichkeit personen- 
bezogener Daten durch die informationelle Selbstbestimmung gibt!?®3, begrenzt 
dies höchstens die Ausrichtung des GGVIS in diesem Punkt. Diese ist jedoch 
ohnehin, wie eben dargelegt, anderer Natur und deutlich von der Schutzrichtung 
der informationellen Selbstbestimmung zu differenzieren. Die Verschiedenheit 
beider Grundrechte und ihre eigenständigen Eingriffsszenarien münden in einem 
Nebeneinander anstatt einem Subsidiaritätsverhältnis!?®*.!?85 In Bezug auf das 
Allgemeine Persönlichkeitsrecht ließe sich diskutieren, ob GGVIS und informa- 
tionelle Selbstbestimmung in ihrer dogmatischen Rolle nicht jene der Presse- und 
Rundfunkfreiheit in Bezug auf die Meinungsfreiheit des Art. 5 Abs. 1 S. 1 Alt. 1 
GG aufweisen. !?®6 Dies bleibt allerdings abseits dieser Untersuchung zu vertiefen. 


Rekurrierend auf die Systemsicherheit als Sicherheit informationstechnischer Sys- 
teme, Komponenten und Prozesse bleibt auf die im vorigen Abschnitt erwähnte 
„Nähe zum GGVIS“ einzugehen.'?®’ Die bisherige bzw. aufgezeigte Definition 
und Abgrenzung zum Grundrecht auf informationelle Selbstbestimmung bestätigt 
grundsätzlich die Nähe, als dass der im GGVIS enthaltene Technikbezug durch 
den Integritätsschutz die Grundlagen für eine Berücksichtigung der Mensch- 
Maschine-Interaktion und -Beziehung in der verfassungsrechtlichen Abwägung 
bedeutet. Der Systemschutz in seiner informatischen wie einfachgesetzlichen Ge- 
stalt löst sich jedoch überwiegend von der Beziehung zum Menschen und legt 
unabhängig der Systemarchitektur und -verwendung Prinzipien und Vorgaben 


1283 Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 23, 24; Eifert, NVwZ 2008, 
521 (521 f); Hoeren, MMR 2008, 365 f; Sachs/Krings, JuS 2008, 481 (483). 

1284 Hierzu Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, Art. 2, Rn. 24 unter Verweis auf 
120, 274 (302); Eifert, NVwZ 2008, 521 (522). 

1285 Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 208 f, zur Subsidiarität siehe S. 252 
ff, Albers, DVB1 2010, 1061 (1068); vgl. Dralle, GGVIS, S. 146 f. Scheinbar auch Bantlin, JuS 
2019, 669 (670) und Luch, MMR 2011, 75 (76 f). Nur bzgl. Art. 10 Abs. 1 GG kritisch 
Britz, DÖV 2008, 411 (414). 

1286 Eine ähnliche Parallele aufzeigend Luch, MMR 2011, 75 (76). 

1287 Sub D.1.3. 
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sicherer Systeme fest. Die sowohl nach $ 2 Abs. 2 BSI-G als auch in der In- 
formatik'?®® vertretenen Prinzipien der Verfügbarkeit, Unversehrtheit und Ver- 
traulichkeit von Informationen beziehen sich auf das System als solches und als 
Informations- bzw. Datenverarbeitungs- und -speicherort. Ob und wann, wie und 
wo personenbezogene Daten verarbeitet werden, ist für die Anwendung dieser 
Aspekte und Herstellung dieser Systemsicherheit irrelevant.'”®? Diese weite For- 
mulierung führt lediglich dazu, dass IT-Systeme mit Persönlichkeitsrelevanz durch 
diesen Schutz ebenfalls betroffen sind. Die systemspezifischen Besonderheiten, 
wie z.B. der potentielle Verarbeitungszweck und -umfang in Relation zur persön- 
lichkeitsbezogenen Aussagekraft der Daten, finden vielmehr ihm Rahmen einer 
Verhältnismäßigkeitsprüfung Anklang. Ähnliche Parallelen zeigen sich im Schutz 
kritischer Infrastrukturen, die im Gesundheitsbereich auch besondere personen- 
bezogene Daten (vgl. Art. 9 Abs. 1 DSGVO) und dahingehende besondere Verar- 
beitungssituationen mittelbar-technisch berücksichtigen.'”°® Folglich schließt die 
Systemsicherheit die Schutzrichtung des GGVIS ein, entspricht dieser jedoch 
nicht aufgrund der durch das Bundesverfassungsgericht und Art. 2 Abs. 1 iVm 
1 Abs. 1 GG verkörperten Nähe zum Persönlichkeitsrecht. Das GGVIS dient 


damit nicht dem Schutz jeglicher IT-Systeme!?! 


„auch wenn faktisch die über- 
wiegende Anzahl genutzter Systeme Telemetrie- und Funktionsdaten erhebt und 
die Möglichkeit einer digitalen Identität — ergo auch der Persönlichkeitsrelevanz 


iSd GGVIS - gegeben ist. 


In dieser Krux kündigt sich bereits der Schutz der digitalen Identität durch das 
GGVIS an: Die weite Definition der digitalen Identität, die nicht nur prima facie 
personenbezogene Daten einbezieht, erschöpft sich im Schutz potentiell persön- 
lichkeitsrelevanter Systeme. Soweit die auf einem eigengenutzten System entste- 
hende digitale Identität durch personenbeziehbare Daten geprägt ist, genießt die 
technische Umgebung des Datenkonstrukts den Schutz des GGVIS. Der Hinweis 


1288 Siehe nur Eckert, IT-Sicherheit, S. 7 ff. 

1289 Vgl. zur Definition der IT-Security Eckert, IT-Sicherheit, S. 6. 

1290 Hierzu vgl. Kraaibeek, Sicherung kritischer Infrastrukturen im Gesundheitswesen, 79 (81 ff). 

1291 So auch Hoffmann-Riem, AöR 134 (2009), 513 (531); Herrmann, GGVIS, S. 126. Dementgegen 
die Verformung zum „apersonalen technikorientierten Grundrecht“ ankündigend Eifert, NVwZ 
2008, 521 (522). 
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des Bundesverfassungsgerichts auf durch den Nutzer nicht bewusst erzeugte Daten 


in Bezug auf „sein Verhalten und seine Eigenschaften“ !??? 


deutet jedoch an, dass 
auch die erst aufgrund der Vernetzung oder bei näherer Analyse entstehenden 
digitalen Identitäten vom Schutzbereich umfasst sind. Die daraus resultierende 
Grundvoraussetzung einer datenerzeugenden Mensch-Maschine-Interaktion ist 
folglich in Bezug auf die digitale Identität stets gegeben. Der grundrechtliche 
Schutz erstreckt sich jedoch nur auf die dargestellte vertrauens- und system- 
bezogene Schutzrichtung; sie ergänzt damit den bestehenden Schutz durch das 
Grundrecht auf informationelle Selbstbestimmung. Umgekehrt schließt der durch 
das Gericht vorausgesetzte potentielle Personenbezug Systeme aus, die sich durch 
eine mangelnde Datenerfassung auszeichnen und keine digitale Identität inkor- 
porieren. Erst, wenn die Datenerfassung durch die Manipulation des fraglichen 
Systems und die Erstellung einer Identität erreicht wird, können Vertraulich- 
keitserwartung und -interesse grundrechtlich aufgefangen werden. Darüber hin- 
aus kommt der objektivrechtliche Schutz!?”® des Grundrechts dem Schutz der 
digitalen Identität zugute: Das von Eifert geforderte Szenario für die Begrün- 
dung des GGVIS - ein „realistisches, persönlichkeitsrelevantes, eigenständiges 
Gefahrenpotenzial für die Integrität der technischen Systeme“!??* — findet sich 
nunmehr in der Ausnutzung von Schwachstellen in IT-Systemen zur Durchfüh- 
rung geheimdienstlicher oder polizeilicher Maßnahmen, konkret der Quellen- 


1295 


Telekommunikationsüberwachung oder der Online-Durchsuchung ^>. Insoweit 


erstreckt sich die Schutzpflicht des Staates, derartige Beeinträchtigungen von IT- 


1296 


Systemen fernzuhalten“, auch auf digitale Identitäten. 


Der mittelbare, grundrechtliche Schutz digitaler Identitäten durch den Schutz des 
eigengenutzten informationstechnischen Systems ist folglich durch das GGVIS 
gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG gegeben, soweit das System potentiell 


1292 BVerfGE 120, 274 (305). 

1293 Vertiefend Taraz, GGVIS und Gewährleistung digitaler Privatheit, S. 156 ff; Heinemann, Grund- 
rechtlicher Schutz informationstechnischer Systeme, S. 209 ff. 

1294 Eifert, NVwZ 2008, 521 (522). 

1295 Hierzu Derin/Golla, NJW 2019, 1111 (1114 f). 

1296 So auch Derin/Golla, NIJW 2019, 1111 (1114 f). In abstrakten Zielstellungen präventiver 
verbleibend Heinemann, Grundrechtlicher Schutz informationstechnischer Systeme, S. 211 ff. 
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quantitativ und/oder qualitativ Aussagen über den Inhaber der digitalen Identität 
enthält. 


5. Conclusio der technischen Betrachtung 


Die vorangehende Betrachtung zeigt, dass der Verfassung nicht nur ein subjektbe- 
zogener Schutz innewohnt. Die Grundrechte der Art. 13 Abs. 1, 10 Abs. 1 Var. 3 
und 2 Abs. 1 iVm 1 Abs. 1 GG weisen auch einen Vertrauensschutz auf, der 
sich im technischen Kontext als Annex zum Grundrechtssubjekt auf Güter und 
Beziehungen zu Dritten darstellt. Im Falle der Unverletzlichkeit des Wohnrau- 
mes des Art. 13 Abs. 1 GG gelingt dies durch die Berücksichtigung subjektiver 
Vertraulichkeitsinteressen, die durch die Räumlichkeit objektiviert werden und 
so Schutz erlangen. Ähnlich verkörpert ist die Kommunikation des Fernmelde- 
geheimnisses des Art. 10 Abs. 1 Var. 3 GG, wenngleich fernmeldetechnische 
Vorgänge sich durch elektromagnetische, nicht physisch wahrnehmbare, Signa- 
le auszeichnen. Hierbei wird die Individualkommunikation für einen breiteren 
Kreis an Dritten auf technischer Ebene wahrnehmbar, setzt jedoch ein Vertrauen 
in die Garantie einer Geheimheit und Sicherheit der Kommunikation durch den 
Dritten voraus. Schutzgegenstand ist daher die Vertraulichkeit der Kommunikati- 
onsinhalte und -umstände, die durch einen vertrauenswürdigen Dritten und damit 
außerhalb des eigenen Herrschaftsbereiches zu sichern ist. Artikel 2 Abs. 1 iVm 
1 Abs. 1 GG schützt das Vertrauen dagegen personenbezogen: Das Grundrecht 
auf informationelle Selbstbestimmung berücksichtigt die Vertraulichkeit der Da- 
ten nicht nur informationell, sondern auch iSe Datensicherheit. Dieser Aspekt ist 
Teil des Grundrechts und ergänzt die technische Lesart des Schutzes personen- 
bezogener Daten, indem die Selbstbestimmtheit auch technisch verstanden wird. 
Sodann sind auch die Vertraulichkeit und Integrität personenbezogener Daten Teil 
der Selbstbestimmung, soweit die Überprüfbarkeit durch den Diensteanbieter — in 
den zu vertrauen ist — gewährleistet wird. Soweit sich diese Aspekte aber aufgrund 
technischer Komplexität des potentiell persönlichkeitsrelevanten Systems eigenen 
Schutzmaßnahmen und der Datensouveräntität entziehen, kommt das GGVIS 
als technikbezogener Schutz in Betracht. Die Vertraulichkeit setzt sich hier aber 
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nicht in Beziehungen zu Diensteanbietern als Datenverarbeitende, sondern als das 
System als Datenspeicher- und verarbeitungsort fort. Der verfassungsrechtliche 
Vertrauensschutz durchzieht damit alle technischen bzw. technikbezogenen Vor- 
gänge, die vom Grundrechtssubjekt regelmäßig nicht überblickt und kontrolliert 
werden können. 


Die digitale Identität findet in dieser Betrachtung nur bedingt Schutz. Während 
dieses immaterielle Datenkonstrukt sich nicht im Schutz der räumlichen Privatheit 
des Art. 13 Abs. 1 GG wiederfindet, ist sie mittelbar vom Fernmeldegeheimnis 
des Art. 10 Abs. 1 Var. 3 GG umfasst. Dieser Schutz gilt nicht nur für die je nach 
Dienstleistung notwendigen digitalen Identitäten, sondern auch die mit Kommu- 
nikationsvorgängen einhergehenden Umstände der Kommunikation. Konkreter 
schützen die eigenständigen Grundrechte des Art. 2 Abs. 1 iVm 1 Abs. 1 GG die 
digitale Identität, indem sie die den zu schützenden Gegenstand zweiseitig flan- 
kieren: Der Schutz der informationellen Selbstbestimmung in seiner technischen 
Lesart schließt auch die digitale Identität ein. Die enthaltene Datensicherheit 
stellt dabei besonders präventive Mittel und die Prinzipien des Privacy by Design 
und Default heraus. Das Grundrecht erhält so den Fokus der Selbstbestimmung, 
der auch in Richtung eines technischen (Selbst-)Schutzes zu verstehen ist. Das 
GGVIS fängt dagegen im Vorfeld der eigentlichen Datenaggregation zu einer di- 
gitalen Identität auch jene Systeme auf, die sich potentiell zur Erstellung einer 
Identität bei Einsichtnahme eignen. Zur Bestimmung dieser bedarf es jedoch der 
Berücksichtigung der Quantität und Qualität, um einen die informationelle Selbst- 
bestimmung ergänzenden Schutz zu gewährleisten. Andernfalls bliebe der Schutz 
der personenbezogenen Systemsicherheit iSd Grundrechts für eindimensionale 
Systeme offen, obschon sie Daten mit einem hohen Risiko für die Persönlichkeit 
bergen. 


ll. Zusammenfassung 


So faccettenreich die digitale Identität (B.) und das verfassungsrechtliche Schutz- 
konzept im Allgemeinen (C.) auch sind, so lässt sich der konkrete Schutz im 
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Ergebnis auf bekannte und bewährte Grundrechte reduzieren. Sowohl auf infor- 
mationeller als auch technischer Ebene stellt Art. 2 Abs. 1 iVm 1 Abs. 1 GG 
durch seine konkretisierten, eigenständigen Grundrechte den Mittelpunkt der di- 
gitalen Identität dar. Dies ist vorhersehbar, wenn es (überwiegend) ein Konstrukt 
personenbezogener Daten zu untersuchen gilt. 


Dennoch besticht dieses Kapitel durch die aufgezeigten Zwischentöne. So konn- 
te für natürliche Personen gezeigt werden, dass die Anonymität bzw. anonyme 
und anonymisierte Daten eine besondere Variante der digitalen Identität darstel- 
len. Diese findet prima facie keinen Schutz im Grundrecht auf informationelle 
Selbstbestimmung, erlangt ihn jedoch auf den zweiten Blick als dessen manifes- 
tierter status negativus. Weiter ist diese Variante als Teil der sphärenbezogenen 
Bewertung digitaler Identitäten von besonderer Bedeutung. Bei diesem Maßstab, 
der sowohl Quantität als auch Qualität des Aussagegehaltes von Daten und Da- 
tensammlungen berücksichtigt, ist diese Variante der Gegensatz zum Öffentlich 
einsehbaren Klardatum. Die an der Sphärentheorie angelehnte Betrachtungsweise 
durchdringt letztlich das einfachgesetzliche Datenschutzrecht in vielerlei Hinsicht 
und dient im Besonderen als verfassungsrechtliche Leitlinie für die Verhältnis- 
mäßigkeit bzgl. aggregierter Datensätze. Juristische Personen können auf diesen 
Maßstab mangels einer Menschenwürde iSd Art. 1 Abs. 1 GG nicht zurückgrei- 
fen. Dieser Malus ist auf Art. 19 Abs. 3 GG zurückzuführen. Ungehindert dessen 
schützt Art. 2 Abs. 1 GG als Kulminationspunkt sowohl die Geschäftsehre ju- 
ristischer Personen als auch ihre informationelle Selbstbestimmung. In letzterem 
Fall ist der Schutzgegenstand jedoch nicht die Gesamtheit personenbezogener 
Daten der Mitarbeiter, sondern jede betriebsbezogene Information, die nicht von 
spezielleren Schutzbereichen umfasst ist. Der jeweilige informationelle Schutz 
läuft in der systembezogenen Lesart des Art. 2 Abs. 1 iVm 1 Abs. 1 GG - dem 
Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informations- 
technischer Systeme — zusammen. Der darin bestehende Vertraulichkeitsschutz 
gegenüber dem eigens genutzten informationstechnischen System gilt für beide 
Grundrechtssubjekte, soweit sich aufgrund des Einsatzzwecks darin potentiell ein 
entsprechendes Substrat der Persönlichkeit befindet. Angesichts der Durchdrin- 
gung des Alltags mit digitalen Begleitern und weiterer Informationstechnik hat 
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dieses Grundrecht an Bedeutung und Schutzweite gewonnen. Als systemschüt- 
zendes Grundrecht dient es jedoch nur der Systemsicherheit als solches, während 
die Datensicherheit durch das Grundrecht auf informationelle Selbstbestimmung 
aufgefangen wird. Gemeinsam bilden sie sowohl ein inneres (datenmäßiges) wie 
äußeres (systemgerichtetes) Schutzkonzept. 


Die Reichweite des Art. 2 Abs. 1 iVm 1 Abs. 1 GG ist allerdings erst zu adressieren, 
wenn sich entsprechende spezielle Schutzkonzepte nicht eignen oder nur unzurei- 
chenden Schutz bieten. Leider war dies für die übrigen dargestellten Grundrechte 
allumfassend gegeben. So kommt natürlichen Personen kein Eigentumsschutz an 
den „eigenen“ Daten gem. Art. 14 Abs. 1 S. 1 Alt. 1 GG zu. Ein Konzept der 
Datenarbeit ist aufgrund der Beschränkung durch geltendes Datenschutzrecht und 
die informationelle Selbstbestimmung nur bedingt durch die Berufsfreiheit des 
Art. 12 Abs. 1 GG geschützt. Der digitalen Identität juristischer Personen kommt 
dagegen ein Schutz aus Art.12 Abs. 1 und 14 Abs. 1 GG zu. Im Lichte des Art.19 
Abs. 3 GG schützt Art. 12 Abs. 1 GG schwerpunktmäßig die wirtschaftliche 
Betätigungsfreiheit und damit höchstens Teilaspekte in der Konstruktion der digi- 
talen Identität. Das Recht am eingerichteten und ausgeübten Gewerbebetrieb des 
Art. 14 Abs. 1 GG betrifft dagegen nur den Bestand des Unternehmens als Ganzes, 
schützt höchstens mittelbar die digitale Identität. In technischer Hinsicht findet 
sie hingegen keinen Schutz in der Unverletztlichkeit des Wohnraumes des Art. 13 
Abs. 1 GG. Das Fernmeldegeheimnis des Art. 10 Abs. 1 Var. 3 GG kann dagegen 
nur temporären Schutz für die Dauer des Kommunikationsvorgangs sowie damit 
einhergehende Metadaten gewähren. 


In aller Kürze: Die digitale Identität findet auch konkreten verfassungsrechtlichen 
Schutz in den dargestellten Grundrechten. 
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Jeder hat das Recht auf den Schutz seiner Daten 
und die Achtung seiner Privatsphäre. 
— Art. 7 Abs. 1, Charta der digitalen Grundrechte (2018) 


Unter Würdigung der vorangehenden Kapitel bleibt nun zu untersuchen, ob der 
in einem Rekurs aufgezeigte Schutz der digitalen Identität auch Verästelungen 
einfachgesetzlicher Art de lege lata ausgebildet hat oder sich de lege ferenda eine 
Erweiterung abzeichnet. Schlussendlich ist ein Blick von der Gegenwart in die 
Zukunft der digitalen Identität zu wagen. 


l. Abschließende verfassungsrechtliche 
Betrachtung 


Die Kapitel B. bis D. zeigen den umfassenden, materiellen Schutz der digitalen 
Identität. Das Datenkonstrukt, das sich aus einzelnen Attributen bildet und ent- 
weder selbst als Identifier fungiert (dann Quasi-Identifier) oder mit einem solchen 
verknüpft ist, erweist sich als vielgestaltig und grundrechtssubjekt-neutral. Ebenso 
breit bzw. multidimensional ist das verfassungsrechtliche Schutzkonzept, das auf- 
grund seiner allgemeinen Ausgestaltung für besagte Vielgestaltigkeit gewappnet 
ist. Dies bestätigt sich nicht nur in den verschiedenen Anwendungsfällen digitaler 
Identitäten und der Gegenüberstellung mit den grundrechtlichen Schutzrichtun- 
gen, sondern auch in concreto in grundrechtlich geschützten Handlungsweisen. 
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Als Basisnorm fungiert hier Art. 2 Abs. 1 iVm 1 Abs. 1 GG, sowohl in Bezug auf 
technische wie informationelle Aspekte digitaler Identitäten. Natürliche Personen 
können sich auf das Grundrecht der informationellen Selbstbestimmung berufen, 
das aus dargelegten Gründen um eine rechtliche Würdigung der Daten-Qualität 
und -Quantität im Rahmen der Verhältnismäßigkeit zu erweitern ist. Denn auch 
hier ist die Sphärentheorie für eine Einordnung des Informationsgehaltes in qua- 
litativer und quantitativer Hinsicht nutzbar zu machen. Für juristische Personen 
ist die verfassungsrechtliche Grundlage um den menschlichen Aspekt des Art. 1 
Abs. 1 GG zu kürzen und beschränkt auf den betriebsbezogenen Kontext wie die 
Geschäftsehre oder weitere Daten mit Unternehmensbezug gem. Art. 2 Abs. 1 
GG. Letztere werden nur bedingt von den üblicherweise der Unternehmensper- 
sönlichkeit dienenden Art. 12 Abs. 1, 14 Abs. 1 GG geschützt. Wenn auch diese 
Kürzung zu einem anderen Betrachtungswinkel führt, so steht der Schutz dieser 
artifiziellen digitalen Identität jener persönlichkeitsgeprägten Variante natürlicher 
Personen kaum nach. Der systembezogene Schutz beider Grundrechtssubjekte 
auf dem Boden des GGVIS , der sich aus dem in das informationstechnische 
System investierte Vertrauen speist und datenunabhängig den Bestand und die 
Zuverlässigkeit der technischen Infrastruktur umfasst. 


Die für diese Arbeit grundlegende Frage, ob und in welcher Form die digitale 
Identität grundrechtlich geschützt ist, ist hiermit positiv zu beantworten und im 
Einzelnen dargelegt. 


I.  Einfachgesetzlicher Schutz de lege lata 


Rekurs nehmend auf die ausführliche Darstellung bleibt nun zu reflektieren, inwie- 
weit die aufgezeigten verfassungsrechtlichen Schutzrichtungen bereits einfachge- 
setzlich aufgefangen sind. Dadurch sollen mögliche Lücken aufgezeigt werden, die 
dann zwecks Erfüllung staatlicher Schutzpflichten in Korrekturansätzen münden 
könnten. 
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Der Schutz der digitalen Identität natürlicher Personen ist durch die bestehenden 
Gesetze weitestgehend abgedeckt. Das Datenschutzrecht bezieht sich als solches 
wie gezeigt nur auf personenbezogene (Einzel-)Daten, erstreckt sich aber mit- 
telbar auch auf aggregierte Datensätze — beispielsweise durch das Gebot der 
Datensparsamkeit gem. Art. 5 Abs. 1 lit. c DSGVO oder mittels risikobasierter 
Betrachtungsweise (vgl. ErwGr 76 DSGVO). Inwieweit die jeweilige digitale Iden- 
tität ihrem Aussagegehalt und ihrer Persönlichkeitssphäre nach vom Schutz um- 
fasst ist, ist einzelfallabhängig zu bestimmen. Problematisch bleibt weiterhin die 
Abgrenzung zwischen personenbezogenen und nicht-personenbezogenen Daten. 
Aus Richtung des Datenschutzrechts ist angesichts Erwägungsgrund 26 DSGVO 
keine Lösung zu erwarten. Die mangelnde Definition oder sonstige legislative Re- 
gulierung (Standards, exemplarische Aufzählungen, Abstufungen je besonderer 
Verarbeitungssituation wie etwa für Wissenschaft und Forschung) des risikoba- 
sierten Ansatzes an der Schwelle zwischen pseudonymen und anonymisierten 
Daten trägt hierzu maßgeblich bei. In zeitlicher Hinsicht kann das Regelungskon- 
strukt aus DSGVO und BDSG ebenso nicht überzeugen, wo It. Erwägungsgrund 
27 DSGVO keine Anwendung auf Daten Verstorbener erfolgt. Der Lebenszyklus- 
Aspekt digitaler Identitäten ist damit in pränataler wie postmortaler Hinsicht nicht 
reflektiert. Postmortal kann sich lediglich auf persönlichkeitsrechtliche Aspekte 
gem. $ 823 Abs. 1 BGB iVm Art. 2 Abs. 1 iVm 1 Abs. 1 GG berufen werden. Dass 
es darüber hinaus an einer einfachgesetzlichen Regelung eines Dateneigentums 


1297 nicht zu beanstanden. Wei- 


mangelt, ist dagegen aus dargelegten Gründen 
ter kann das Netzwerkdurchsetzungsgesetz in seiner persönlichkeitsrechtlichen 


Schutzrichtung!?®® (vorerst) keine Relevanz für die digitale Identität entfalten. 


Juristischen Personen kommt im Rahmen dieser Arbeit nicht schon aufgrund an- 
derer Grundrechte eine Sonderstellung zu. Auch auf einfachgesetzlicher Ebene 
sind die Regelungen zum Schutz der digitalen Unternehmenspersönlichkeit eher 
begrenzt. Die einführende Definition sowie die Einordnung zwischen Art. 12 
Abs. 1, 14 Abs. 1 und 2 Abs. 1 iVm 1 Abs. 1 GG wird lediglich in der Literatur 


1297 Sub D.1.1.d). 
1298 Vgl. Spindler, GRUR 2018, 365 ff; Hoven/Gersdorf in: Gersdorf/Paal, BeckOK InfoMedienR, 
$ 1 NetzDG, Rn. 4. 


279 


E. Lückenhafter Schutz? — Zusammenfassung und Ausblick 


diskutiert. Regelungen, die typischerweise dem Schutz des verfassungsrechtlichen 
Persönlichkeitsrechts zuzuordnen sind — beispielsweise das Kunsturhebergesetz 
— sind aufgrund besagter Prägung nur natürlichen Personen zugänglich; hier ver- 
drängt die einfachgesetzlich verkörperte Menschenwürde des Art. 1 Abs. 1 GG die 
unternehmerischen Interessen juristischer Personen iSd Art. 19 Abs. 3 GG. Einen 
Hoffnungsschimmer mag man im bereits referenzierten Geschäftsgeheimnisge- 
setz erkennen, da dieses zumindest Aspekte des Unternehmens aus Art. 14 Abs. 1 
GG berücksichtigt.'?” Hierin sind jedoch keine Regelungen eines detaillierten 
Unternehmenspersönlichkeitsrechts zu erkennen. 


In technischer Hinsicht sind die betroffenen Interessen nicht durch ein übergeord- 
netes, allgemeines Gesetz aufgefangen. Das BSI-Gesetz sowie damit verknüpfte 
Änderungsgesetze und -regelungen (IT-Sicherheitsgesetz 1.0 und 2.0; nationales 
Umsetzungsgesetz der NIS-Richtlinie) beziehen sich schon qua Anwendungsbe- 
reich überwiegend auf die „Sicherheit der Informationstechnik des Bundes“. Nur 
vereinzelt greift das Gesetz seine fördernde Rolle gem. $ 3 Abs. 1 S. 1 BSI-G 
auf, indem sich generell der „Untersuchung von Sicherheitsrisiken bei Anwen- 
dung der Informationstechnik“!? und der „Forschung im Rahmen gesetzlicher 


Aufgaben‘!30' 


, weiter aber „Beratung und Warnung [...] der Hersteller, Vertreiber 
und Anwender in Fragen der Sicherheit in der Informationstechnik unter Berück- 
sichtigung der möglichen Folgen fehlender oder unzureichender Sicherheitsvor- 
kehrungen“!?”, Im Übrigen regelt das Gesetz grundlegend das Pflichtenkorsett 
für kritische Infrastrukturen iSd $ 2 Abs. 10 und digitale Dienste gem. $ 2 Abs. 11 
BSI-G. Der Schutz der IT-Sicherheit kann daher nur bereichsspezifisch gefunden 
werden, wobei das IT-Sicherheitsgesetz in seiner Form als Artikelgesetz als Weg- 
weiser dienen kann — verweisend auf Art. 4 (Telemediengesetz) und 5 (Telekom- 
munikationsgesetz) IT-SiG. So fanden sich in $ 13 Abs. 7 TMG a.F. grundlegende 
technische Anforderung an Telemedienanbieter zum Schutz der technischen In- 
frastruktur (S. 1 Nr. 1 und Nr. 2 lit. b) und der personenbezogenen Daten der 


1299 Hierzu sub D.1.2.c). 

1300 $ 3 Abs. 1 S. 2 Nr. 3 BSI-G. 
1301 $3 Abs. 1 S. 2 Nr. 1 BSI-G. 
1302 $ 3 Abs. 1 S. 2 Nr. 14 BSI-G. 
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Nutzer (S. 1 Nr. 2 lit. a) durch technische und organisatorische Vorkehrungen. 
Erstere sind nun in $ 19 Abs. 4 TTDSG integriert. Die Variante des $ 13 Abs. 7 
S. 1 Nr. 2 lit. aTMG a.F. wird durch die spezielleren Vorschriften der Art. 25, 
32 DSGVO verdrängt. Das Telekommunikationsgesetz in alter Fassung enthielt 
dagegen Regelungen zu Maßnahmen der Informationssicherheit bzgl. der Über- 
tragungsleistung und/oder dem Schutz der Telekommunikationsinfrastruktur als 
Teil des bereichsspezifischen Dateschutzrechts in Teil 7. Dieses wurde nunmehr 
in seinem rein datenschutzrechtlichen Kern in dasTTDSG überführt; die rein 
infrastrukturbezogenen, technischen Schutzmaßnahmen verblieben dagegen im 
TKG und wurden in $$ 165, 169 TKG übernommen. Die Absätze des $ 165 TKG 
bilden die Grundlage für eine Schutzkonzept von Telekommunikationsanlagen, 
bestehend aus einer allgemeinen Pflicht zu technischen Vorkehrungen und sonsti- 
gen Maßnahmen zum Schutz des Fernmeldegeheimnisses (Art. 10 Abs. 1 GG) und 
von personenbezogenen Daten (Art. 2 Abs. 1 iVm 1 Abs. 1 GG) über besondere 
Pflichten für öffentliche Telekommunikationsnetze ergänzt durch eine Pflicht zur 
Vorlage eines Sicherheitskonzepts gem. $$ 166 Abs. 1, 167 TKG. Letzteres kann 
sich an dem gem. $ 167 TKG von BNetzA, BSI und BfDI erarbeiteten Katalog 
von Sicherheitsanforderungen orientieren; der Katalog ist nicht verpflichtend'?®, 
Netzbezogene Beeinträchtigungen sind gem. $ 168 TKG unverzüglich zu melden. 
Persönlichkeitsbezogene bzw. die Beeinträchtigung des Schutzes personenbezo- 
gener Daten betreffende Meldungen richten sich dagegen gänzlich nach $ 169 
TKG. Die „bloße“ Verletzung verpflichtet zu einer Meldung ggü. der BNetzA 
sowie dem BfDI. Bei Verletzungen, durch die Personen „schwerwiegend in ihren 


Rechten oder schutzwürdigen Interessen beeinträchtigt“'?0* 


werden, ist dagegen 
die betroffene Person selbst mit den Angaben gem. Abs. 2 in Kenntnis zu setzen. 
Vollumfänglich bildet $ 169 TKG damit das Informationsschema der Art. 33, 34 
DSGVO ab, einschließlich einer risikoabhängigen Informationspflicht. Schließ- 


lich entfällt auch nach $ 169 Abs. 1 S. 3 TKG die Informationspflicht, sofern 


1303 Vgl. gibt die Begründung des Gesetzesentwurfes hierüber keinen Aufschluss — BT-Drs. 18/4096, 
S. 36. 
1304 $ 169 Abs. 1 S. 2 TKG. 


281 


E. Lückenhafter Schutz? — Zusammenfassung und Ausblick 


hinreichende Schutzmaßnahmen nachweislich unternommen wurden oder gem. 
$ 169 Abs. 1 S. 2 TKG ein nicht-schwerwiegender Fall vorliegt. 


Die allerorts vorgegebenen Informations- bzw. Warnpflichten münden jedoch 
nicht zwangsläufig in einem besseren Schutzstandard, welcher der angedeuteten 
Erfüllung der Schutzpflicht aus dem GGVIS'?® dient. Alle erwähnten Geset- 
zeswerke — BSI-G, TMG, TKG, TTDSG und DSGVO - verweisen auf einen 
Stand der Technik hinsichtlich der technischen und organisatorischen Maßnah- 
men. Die bloße Orientierungswirkung des Kataloges nach $ 167 TKG sowie dem 
IT-Grundschutz-Katalog kann hierüber nicht hinweghelfen. Gemein ist den Be- 
griffen ein Einbeziehen (branchen-)etablierter Schutzstandards'?0, die zumeist 
nachträglich in diese Kataloge aufgenommen werden. Auch zeigt sich ein (so- 
weit berechtigtes) differenziertes Schutzniveau zwischen kritischen Infrastruktu- 
ren und privaten Endgeräten. Es bleibt jedoch zu fragen, ob letztere nicht als 
Angriffsvektor für derartige oder andere relevante Infrastrukturen dienen können. 
Die datenschutz- und IT-sicherheitsfreundliche Konstruktion von Hard- und Soft- 
ware ist insoweit nicht beaufsichtigt.!?07 So hat das BSI gem. $$ 7, 7a, 3 Abs. I 
S.2Nr. 14 und 14a BSI-G nur die Fähigkeit, also keine Pflicht, sich mit den imple- 
mentierten technischen Standards in Endgeräten auseinanderzusetzen. In Relation 
zu den übrigen Aufgaben des $ 3 BSI-G gerät diese Aufgabe ins Hintertreffen, 
steht die Sicherheit der Informationstechnik des Bundes doch im Mittelpunkt. 


Insofern bleibt ein, wenn auch punktueller, Korrekturbedarf sowohl in daten- 
schutzrechtlicher wie IT-sicherheitsrechtlicher Hinsicht erhalten. Datenschutz- 
rechtlich bedarf es einer Begriffsklärung hinsichtlich der Anonymität und ein 
klareres Rechtskonstrukt zum Erhalt dieses Zustands in Relation zum (personen- 
bezogenen) Datenschutzrecht. IT-sicherheitsrechtlich besteht ebenso der Bedarf 
nach einheitlichen Standards, die zumindest ein unteres Niveau an IT-Sicherheit 


1305 Sub D.I.4. 

1306 Hladjk in: Ehmann/Selmayr, DSGVO, Art. 32, Rn. 5; Jandt in: Kühling/Buchner, DSGVO, Art. 
32 DSGVO, Rn. 10; Hansen in: Simitis/Hornung/Spiecker gen. Döhmann, DSGVO/BDSG, Art. 
32 DSGVO, Rn. 22 f; Ekrot/Fischer/Müller in: Kipker, Cybersecurity, $ 3, Rn. 5, 8 ff. 

1307 Vgl. Vettermann, BSI-Sicherheitstest revisited: Besserer Schutz durch DSGVO und Co. mög- 
lich?, S. 253 (259 f). 
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aus Verbrauchersicht garantieren. Dies betrifft insbesondere Endgeräte, die nicht 
vordergründig personenbezogene Daten bearbeiten (z.B. Router).'?0® Besagte 
Standards sollten auch entsprechend transparent aufbereitet und kommuniziert 
werden, um das Technikbewusstsein der Nutzenden zu fördern. Beide Forderun- 
gen münden in selbiger Zielstellung: Ein einheitliches Schutzniveau. 


Il.  Korrekturansätze de lege ferenda 


Insofern bleibt die Sachlage de lege ferenda zu betrachten und die geplanten 
Änderungen von Gesetzen oder ähnliche Korrekturbestrebungen zugunsten eines 
erweiterten einfachgesetzlichen Schutzes hin zu prüfen. 


1. Datenstrategische Vorhaben von Bund und EU 


Zuvorderst ist sich der nunmehr umgesetzten Änderung in Form des Zweiten 
Datenschutzanpassungs- und Umsetzungsgesetz (2. DSAnpUG) zu widmen. Die- 
ses Artikelgesetz hat zur Aufgabe, allgemeine wie spezialgesetzliche datenschutz- 
rechtliche Vorschriften anzupassen und ein harmonisches Verhältnis zwischen 
nationalem und europäischem Datenschutzrecht herbeizuführen. Vornehmlich 
werden hierzu Begriffsbestimmungen, Verweisungen und Rechtsgrundlagen an- 
gepasst.'?° Hinsichtlich des Bundesdatenschutzgesetzes ist lediglich die Erweite- 
rung der Rechtsfertigungsgründe zur Verarbeitung besonderer personenbezogener 
Daten um die zwingend erforderliche Verarbeitung „aus Gründen eines erhebli- 
chen öffentlichen Interesses“, $ 22 Abs. 1 Nr. 1 lit. d BDSG. Mit Blick auf das 
gleichermaßen geänderte BSI-Gesetz und der dortigen Einfügung in § 3 S. 1 BSI- 
G - „im öffentlichen Interesse liegende Aufgaben“ — lässt sich die unter anderem 
dort genutzte Öffnungsklausel des Art. 6 Abs. 3 S. 1 lit. b, Abs. 1 lit. e DSGVO 


1308 Vettermann, BSI-Sicherheitstest revisited: Besserer Schutz durch DSGVO und Co. möglich?, 
253 (260). 
1309 BT-Drs. 19/4674, S. 2. 
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erkennen. Diese Annahme stützen auch die weiteren eingefügten Vorschriften des 
BSI-G, welche die Verantwortlichkeit des BSI für die Verarbeitung personenbe- 
zogener Daten regeln ($$ 3a, 6a-6f BDSG). Dennoch sind die Änderungen durch 
das 2. DSAnpUG marginal und bereiten keine zukünftigen Änderungen in begriff- 
licher oder systematischer Hinsicht vor. Dass die durch die DSGVO überflüssig 
gewordene Regelung des $ 13 Abs. 7 S. 1 Nr. 2 lit. a TMG a.F. nicht gestrichen 
worden ist, mag die mangelnde Weitsicht belegen. Zumindest ist nicht davon aus- 
zugehen, dass zum Erlass am 20.11.2019 bereits Einzelheiten des TTDSG und 
damit die Überarbeitung der Regelung bekannt war. 


Perspektivisch sind daher die Datenstrategien der Akteure — also Bund und EU - 
in den Blick zu nehmen. Schließlich zeigen diese die Planung gesetzgeberischer 
Vorhaben sowie anderer staatlicher Programme an und enthalten dementspre- 
chend legislative Korrekturansätze. Zu beachten ist jedoch, dass sich beide zum 
Stand der Untersuchung im Konsultationsverfahren befinden und daher nur eine 
Indizwirkung von ihnen ausgeht. 


Das Eckpunkte-Papier zur Datenstrategie der (ehemaligen) Bundesregierung 
vom 18.11.2019'3!0 sieht das „enorme Innovationspotenzial“ im Fokus. „Da- 
mit eng verbunden sind immer auch Fragen des verantwortungsvollen Umgangs 
mit den Möglichkeiten und Risiken sich stetig weiterentwickelnder Techno- 
logien der Datengenerierung, -sammlung und -auswertung. Es gilt also, die 
Chancen zu nutzen und zugleich die Wahrung grundlegender Werte, Rech- 
te und Freiheiten unserer Gesellschaft zu gewährleisten.“'3!! Für den Schutz 
digitaler Identitäten bedarf es dementsprechend dem Erhalt bestehenden und 
der Erweiterung des dargestellten Schutzkreises, insbesondere um die Zielstel- 
lung des „selbstbestimmt[en], kompetent[en], unabhängig[en] und sicher[en]“ 
Individuums aufrechtzuerhalten. Positiv fällt auf, dass sich die Strategie so- 
wohl mit nicht-personenbezogenen als auch personenbezogenen Daten befasst. 


1310 Nachfolgend bezeichnet als Eckpunkte-Papier Datenstrategie. Das Dokument ist abrufbar un- 
ter https://www.bundesregierung.de/resource/blob/997532/1693626/e617eb58f3464ed13b8d 
ed65c7d3d5a1/2019-11-18-pdf-datenstrategie-data.pdf. 

1311 Eckpunkte-Papier Datenstrategie (Fn. 1310), S. 1. 
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Dass die Bundesregierung hierbei gleichermaßen den Schutz der informationellen 
Selbstbestimmung, von Geschäfts- und Betriebsgeheimnissen sowie Datenschutz- 


recht und Datensicherheit gewährleisten will!?!? 


reflektiert letztlich die dargelegte 
Bandbreite digitaler Identitäten natürlicher und juristischer Personen. In den ein- 
zelnen, angedeuteten Maßnahmen lässt sich dieser Ansatz nur mittelbar erkennen 
und dient als Prämisse für die Pläne zur Datenbereitstellung/-zugang und Daten- 
nutzung. Das Ziel der datengetriebenen Gesellschaft steht hier im Vordergrund, 
sei es bei der Evaluation von Anreizsystemen für eine gemeinwohlorientierte 
Datennutzung oder dem Auf- und Ausbau wettbewerbsfähiger und nachhaltiger 
Dateninfrastrukturen. Erwähnenswert ist aber der Aspekt, die Forschung durch 
„sichere und neue Methoden zur Anonymisierung und Pseudonymisierung“ zu 
unterstützen.'?'? Hierin könnte die Bestrebung zu erkennen sein, die geforder- 
ten Mindeststandards zu etablieren oder rechtlich zu implementieren und neue 
Ansätze z.B. im Rahmen von Forschungsprojekten zu unterstützen. Ersteres ist 
angesichts der Förderung der Datennutzung durch „untergesetzliche Maßnahmen 
wie z.B. Förderungen, Normungen (Sicherheits-)Standards, Muster und Verhal- 


tenskodizes (codes of conduct)“!3!* 


plausibel. Dennoch erscheint fraglich, ob und 
inwiefern die Abgrenzung zwischen anonymen und anonymisierten Datensätzen 
in der Tiefe erfolgt oder ob sich einem risikobasierten Ansatz bei der Betrachtung 
von personenbezogenen und nicht-personenbezogenen Daten angeschlossen wird. 
Letzteres mag aber mit einer klaren Abgrenzung kaum möglich sein. Auch zu 
der Anerkennung postmortaler oder pränataler Rechte, etwaiger Klarstellungen 
und einem Umdenken in Sachen „Dateneigentum“ sind nicht ersichtlich. Das 
Eckpunkte-Papier deutet also grundsätzlich in eine richtige Richtung, könnte aber 
aufgrund der eher (daten-)wirtschaftlichen Schwerpunkte die verfassungsrecht- 


lichen Interessen der Betroffenen vernachlässigen. 


Die im Eckpunkte-Papier aufgezeigte Idee der datengetriebenen Gesellschaft setzt 
sich in der finalen Datenstrategie der (ehemaligen) Bundesregierung vom 27. 


1312 Eckpunke-Papier Datenstrategie (Fn. 1310), S. 
1313 Eckpunke-Papier Datenstrategie (Fn. 1310), S. 
1314 Eckpunke-Papier Datenstrategie (Fn. 1310), S. 


2. 
3. 
4. 
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Januar 2021!3!5 fort. Als Grundpfeiler zur Zielerreichung wurde der Fokus je- 
doch merklich verschoben. Zwar sind Anonymisierung und Pseudonymisierung 


weiterhin zugunsten der Forschung zu fördern'3!® 


und eine Differenzierung von 
nicht-personenbezogenen und personenbezogenen Daten in der Nachnutzung er- 
sichtlich. Der allein fördernde Ansatz zur Erforschung guter Anonymisierungs- 
praktiken blieb jedoch bestehen; eine Definition oder anderweitige Klarstellung 
fehlt weiterhin. Weshalb die Bundesregierung beabsichtigt, „verschiedene Gra- 


«1317 


de der Anonymität ohne eine Definition eines einzelnen Grades abzubilden, 


ist nicht nachvollziehbar. Ausdrücklich bewegt sich die Datenstrategie dagegen 


weg von einem Dateneigentum'?!® 


und hin zu einer Regulierung der Daten- 
nutzung unter den Prämissen der Rechtssicherheit, Benutzerfreundlichkeit und 
Transparenz. Ob und inwieweit eine Evaluation des BDSG'?!? und eine Klärung 
der Rechtslage zwischen BDSG und DSGVO zur einfachgesetzlichen Schärfung 
der Anonymität beitragen können, ist fraglich. Zumindest wird die Auflösung 
der zersplitterten Regelung des bereichtsspezifischen Datenschutzrechts in TKG 
und TMG durch das TTDSG'??° angestrebt, perspektivisch auf (quelloffenen) 


32! und auch 


Open-Source-Protokollen bei der Nachnutzung von Daten gebau 
die wettbewerbsrechtlich kritische (Quasi-)Monopolstellung großer digitaler Ak- 
teure mittels Novelle des GWB'?? aufgearbeitet. Einen besonderen Punkt hebt die 
Datenstrategie allerdings mit dem Ansatz des Datentreuhänders heraus, welcher 


als Informationsintermediär zwischen Betroffenem und verantwortlicher Stelle 


1315 Nachfolgend bezeichnet als Datenstrategie BReg. Das Dokument ist abrufbar 
unter https://www.bundesregierung.de/resource/blob/992814/1845634/f0730962398e59573c 
7526feaadd43c4/datenstrategie-der-bundesregierung-download-bpa-data.pdf?download=1. 

1316 Datenstrategie BReg (Fn. 1315), S. 20 f. 

1317 So Datenstrategie BReg (Fn. 1315), S. 34/35. 

1318 So Datenstrategie BReg (Fn. 1315), S. 23: „Wir sprechen uns gegen die Schaffung eines 
‚Dateneigentums‘ aus.“ 

1319 Datenstrategie BReg (Fn. 1315), S. 19. 

1320 Datenstrategie BReg (Fn. 1315), S. 19. 

1321 Datenstrategie BReg (Fn. 1315), S. 22, 25. 

1322 Datenstrategie BReg (Fn. 1315), S. 22. 
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fungieren soll.'?*? Anvisiert werden dabei sowohl öffentlich-rechtliche Nutzungs- 
modelle sowie der B2B- und B2C-Bereich.'??* Als Grundlage dafür soll neben 
den erwähnten Pseudonymisierungs- und Anonymisierungstechniken ein Haupt- 
augenmerk auf der sicheren Infrastruktur und der hohen Vertraulichkeit im Um- 
gang mit den Datensätzen liegen. Die Verwaltung der eigenen Daten bei diesen 
Datentreuhändern soll durch ein sog. Personal Information Management System 
(PIMS) erfolgen! ??°, Offenbar adressiert die Bundesregierung hier die Verwaltung 
digitaler Identitäten durch die Schaffung eines Rechtsrahmens für Plattformen zur 
Identitätsdaten-Verwaltung, wie sie vereinzelt schon für den deutschen Markt mit 


1326 und NetID'3?” konzipiert wurden. Insofern gewinnen digitale Identitä- 


Verimi 
ten und die Nutzung durch sowie Speicherung bei einem zentralen Intermediär an 
Bedeutung. Ein Rechtsrahmen für diese Diensteanbieter sowie zur Gewährleis- 
tung eines bereichsspezifischen wie dynamischen Schutzes der digitalen Identität 
in den gezeigten Facetten ist daher zwingend erforderlich. Hinsichtlich des Rechts- 


rahmens bietet der Data Governance Act!?28 


mit seinem Kapitel III schon eine 
erste Grundlage. National zeigen sich bereits deutliche strukturelle Parallelen 
Konzeption des des Datencockpits im Rahmen des Registermodernisierungsge- 
setzes, welches sogleich näher zu betrachten ist!32°, Das Ziel des Vertrauens in 
derartige Dienste wird perspektivisch allerdings durch Herausgabepflichten von 
Passwörtern und Zugangsdaten ($ 23) sowie Bestandsdaten ($ 22 TTDSG) 


untergraben, weshalb die im Ansatz zu befürwortende Strategie schon zu Beginn 


1323 Datenstrategie BReg (Fn. 1315), S. 34. 

1324 Datenstrategie BReg (Fn. 1315), S. 35. 

1325 Datenstrategie BReg (Fn. 1315), S. 35. 

1326 Siehe https://verimi.de. 

1327 Siehe https://netid.de. 

1328 Der Entwurf der Kommission ist abrufbar unter https://eur-lex.europa.eu/legal-content/EN/ 
TXT/?uri=CELEX%3A52020PC0767. Die im Juni 2022 in Kraft getretene, finale Fassung 
des DGA ist abrufbar unter https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX% 
3A32022R0868. 

1329 Sub E.M.3. 

1330 Abrufbar unter https://www.bmwi.de/Redaktion/DE/Downloads/Gesetz/gesetzentwurf-zur-r 
egelung-des-datenschutzes-und-des-schutzes-der-privatssphaere-in-der-telekommunikation 
-und-bei-telemedien.pdf?__blob=publicationFile&v=6. 


287 


E. Lückenhafter Schutz? — Zusammenfassung und Ausblick 


ihrer Umsetzung an der Berücksichtigung verfassungsrechtlicher Interessen aus 
Art. 2 Abs. 1 iVm 1 Abs. 1 GG zweifeln lässt. 


Anders geartet ist dagegen das im Februar 2020 begonnene Konsultationsver- 
fahren des Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI), 
welches sich thematisch auf die Anonymisierung von Daten beschränkt. 1?! Wenn- 
gleich nicht Teil der Datenstrategie, ist dieses Verfahren dennoch interessant: Es 
bildet den Zwiespalt zwischen anonymisierten und pseudonymisierten personen- 
bezogenen Daten ab und geht auf einzelne Rechtsgrundlagen der Verarbeitung 
ein. Die dahingehende rechtliche Diskussion bestätigt die Relevanz dieser Ab- 
grenzung und einer Definition von Anonymität im Datenschutzrecht entgegen 
Erwägungsgrund 26 DSGVO. Die Lösung, die mit diesem Diskussionsvorschlag 
und der Befragung der Öffentlichkeit herbeigeführt werden soll, ist grundlegend 
zu begrüßen. Der Definitionsansatz des BfDI im Papier lässt jedoch bestehende 
gerichtliche oder vergangene Definitionen wie jene des $ 3 Abs. 6 BDSG a.F. 
außen vor.'?3? Damit gelingt es schon nicht, eine gleiche Basis für die Diskussi- 
on herzustellen. Darüber hinaus wird auf das dynamische Verständnis aufgrund 
des risikobasierten Ansatzes der DSGVO nicht eingegangen; eine definitorische 
Abgrenzung zur naheliegenden Pseudonymisierung fehlt. Der positiv zu bewer- 
tende Ansatz des BfDI ist daher wenig geeignet als Schutzverstärkung de lege 
ferenda, vermag aber (vermeintlich) zu einer einheitlichen Definition des Da- 
tenschutzrechts zu führen: Die finale Positionierung des BfDI im Papier vom 
29.06.2020'?33 greift die Punkte der Stellungnahmen durchaus auf, beschränkt 
sich aber auf die bekannten Definitionen nach dem relativen Verständnis einer 
Abgrenzung von Pseudonymisierung und Anonymisierung unter Rüückgriff auf 


1331 Abrufbar unter https://www.bfdi.bund.de/SharedDocs/Konsultationsverfahren/2020/01_Anon 
ymisierung-TK.pdf?__blob=publicationFile&v=6. 

1332 Siehe S. 4 ff der Stellungnahme von FIZ Karlsruhe, abrufbar unter https: 
//www.fiz- karlsruhe.de/sites/default/files/FIZ/Dokumente/Meldungen/BFDI-Stellungna 
hme-Konsulation-FIZ-Uni-Bonn-KIT-20200309.pdf. 

1333 Abrufbar unter https://www.bfdi.bund.de/DE/Infothek/Transparenz/Konsultationsverfahren 
/01_Konsulation- Anonymisierung-TK/Positionspapier- Anonymisierung.pdf? _blob=public 
ationFile&v=2. 
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die Breyer-Entscheidung des EuGH.'??* Wie auch im Beitrag von Stürmer!??5 


wird im Papier davon ausgegangen, dass die Überprüfung der Anonymisierung 
auf ihre Validität „eine fortwährende Aufgabe des Verantwortlichen“ ist — ohne 
eine Herleitung aus dem Pflichtenkorsett der DSGVO. Eine Klarstellung ist damit 
nur begrenzt gelungen. 


Breiter gefasst als die nationalen Bestrebungen scheint mit einer zehnjährigen 
Laufzeit von 2020 bis 2030 die Datenstrategie der Europäischen Kommission. 1336 
Allgemein wird darin beschrieben, dass Daten im 21. Jahrhundert die Hauptrolle 
in Wirtschaft und Gesellschaft einnehmen bzw. einnehmen werden: „Data is at 
the centre of this transformation and more is to come.“ Unter dieser Prämisse 
soll die europäische Wirtschaft und Gesellschaft in die Lage einer Vorreiterrolle 
— wie auch Deutschland selbst im Rahmen des o.g. Eckpunkte-Papiers'”” - in 
Bezug auf Digitalisierung, Datenwirtschaft und Cloud-Dienste versetzt werden. 
Dies betrifft vor allem kleine und mittelständische Unternehmen (KMU) sowie 
Start-ups. Durch diverse Rechtsakte soll die Möglichkeit für diese Unternehmen 
wie auch Individuen bzw. natürliche Personen vereinfacht werden, Teil der Di- 
gitalisierung zu sein; der in Art. 1 Abs. 1 DSGVO aE erwähnte freie Verkehr 
von Daten soll inter- und intradisziplinär verstärkt werden. Dieser ist maßge- 
bend für die beabsichtigte Errichtung eines Europäischen Datenmarktes — „a 
genuine single market for data, open to data from across the world“!338, Hier- 
bei soll auch auf Daten- und IT-Sicherheit sowie die Rechte und Freiheiten der 
Beteiligten und ihre Datenkompetenz Rücksicht genommen werden.'??? Die Pro- 
bleme, die die Europäische Kommission damit adressiert, sind fast ausschließlich 
wirtschaftlicher Natur: Die fehlende Verfügbarkeit geeigneter (personenbezoge- 


ner wie nicht-personenbezogener) Daten, ein verschobenes Kräfteverhältnis im 


1334 Positionspapier des BfDI vom 29.06.2020 (Fn. 1333), S. 4. 

1335 Siehe Stürmer, ZD 2020, 626 (629). 

1336 Nachfolgend bezeichnet als Datenstrategie EU. Das Papier ist einsehbar unter https://ec.europ 
a.eu/info/sites/info/files/communication-european-strategy-data- 19feb2020_en.pdf. 

1337 Datenstrategie EU (Fn. 1336), Rn. 2, 5. 

1338 Datenstrategie EU (Fn. 1336), S. 4. 

1339 Datenstrategie EU (Fn. 1336), S. 6. 
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internationalen Datenmarkt, mangelhafte Interoperabilität von Schnittstellen/Da- 
tensätzen und die fehlende Regulierung. Ebenso müssen Dateninfrastrukturen 
und die (datengenerierenden) Individuen gefördert werden. Deshalb widmet sich 
die Strategie der Umsetzung vierer Pfeiler, auf denen der Europäische Daten- 
markt errichtet werden soll. Im Anschluss an eine interdisziplinäre Regulierung 


zu Zugang und Nutzung hochwertiger Datensätze!’* 


werden sog. Enabler (dt. 
Auslöser, Befähiger) in Form von Forschungsprojekten und ähnlichen Unterstüt- 
zungsleistungen genutzt!?*!, Letztere nehmen mit dem Zeitraum von 2021-2027 
den größten Anteil der Strategie ein. Zugleich beginnt die Einrichtung von sog. 
Data Spaces, die im einzelnen recht technisch beschrieben, im Kern aber als 
Teil des großen Europäischen Datenmarktes zu sehen sind. Dies bestätigt zumin- 
dest der vierte Pfeiler der Strategie, welcher den Aufbau einer Vielzahl von Data 
Spaces in den Blick nimmt.'*? Für die digitale Identität ist die bis hierhin überaus 
wirtschaftliche Sichtweise insoweit relevant, als dass Datensätze und ggf. auch 
digitale Identitäten nach dem vorgestellten Begriff einer breiten Masse zugänglich 
gemacht werden. Dies ist nicht per se negativ zu bewerten, sondern erfordert ein 
entsprechendes Schutzniveau durch staatliche Maßnahmen. Hierauf deutet zwar 
der regulatorische Rahmen des ersten Pfeilers hin. Dieser versteht sich vor dem 
Hintergrund des dritten Pfeilers jedoch eher als marktbezogenes Unterfangen: Der 
bislang nicht erwähnte Pfeiler bezieht die Interessen der Individuen unmittelbar 
ein und fördert Kompetenzen der Bürgerinnen und Bürger sowie KMU. Dies soll 
vor allem dadurch gelingen, das Recht auf Interoperabilität gem. Art. 20 DSGVO 
verstärkter durchzusetzen und damit die informationelle Selbstbestimmung der 
Betroffenen zu gewährleisten.'?*? Weitere, ausdrückliche Maßnahmen räumt die 
Datenstrategie jedoch nicht ein. Insgesamt kann damit auch diese Strategie nicht 
auf der Ebene der Grundrechtsgewährleistung überzeugen; Absichten zur Förde- 
rung von Standards zum Schutz digitaler Identitäten geschweige eine legislative 


1340 Datenstrategie EU (Fn. 1336), S. 12 ff. 
1341 Datenstrategie EU (Fn. 1336), S. 15 ff. 
1342 Datenstrategie EU (Fn. 1336), S. 21 ff. 
1343 Datenstrategie EU (Fn. 1336), S. 20/21. 
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Klarstellung von Anonymisierung und Pseudonymisierung — welche für den Aus- 
tausch von Daten jeglicher Art zwingend notwendig ist — enthält der Plan nicht. 


Im Verlauf des Jahres 2021 bestätigt sich die vermutete Streubreite der europäi- 
schen Datenstrategie, die sich in den Entwürfen des (bereits erwähnten) Data 
Governance Acts (DGA-E bzw. DGA für die finale Fassung)'’*, Digital Ser- 
vices Acts (DSA-E)'3®, Digital Markets Acts (DMA-E)!?*, Data Acts'3* und 
AI Acts'3*# verwirklicht. Dabei decken DSA-E und DMA-E die zweiseitige Re- 
gulierung von datenverarbeitenden Unternehmen ab: Der DMA-E widmet sich 
wettbewerbs- und kartellrechtlichen Aspekten und fungiert als Regulierung des 
level playing field. Ergänzend reguliert der DSA-E Informationsintermediäre in- 
haltsbezogen; im Fokus stehen Netzwerk- und Informationsdienste („Mere Con- 
duit“, Art. 3), die vorübergehende Datenspeicherung (,Caching“, Art. 4) und die 
auf Dauer angelegte Speicherung auf Anfrage von Nutzenden (,„Hosting“, Art. 5) 


1349 _ auch Suchmaschi- 


sowie — nach dem aktualisierten Entwurf des EU-Rates 
nen und Online-Marktplätze (siehe Art. 2 lit. f). Dadurch wird die Umsetzung 
datenschutzrechtlicher Transparenzpflichten durch plattformbezogene Transpa- 


renzvorgaben flankiert. 


Von deutlicher Relevanz für die Materie der digitalen Identität ist aber der Digi- 
tal Governance Act. Prinzipiell zielt dieser auf die Nutzbarmachung von Daten 
allgemein ab. Die Relevanz ergibt sich aber aus Abschnitt III und IV: Abschnitt 
II regelt ein Meldeverfahren für Daten-Intermediäre, die per definitionem als 


1344 Siehe Fn. 1328. 

1345 Einsehbar unter https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age 
/digital-services-act-ensuring-safe-and-accountable-online-environment_de. 

1346 Einsehbar unter https://ec.europa.eu/info/strategy/priorities-2019-2024/europe-fit-digital-age 
/digital-markets-act-ensuring-fair-and-open-digital-markets_de. 

1347 Zum Bearbeitungszeitpunkt befindet sich der Entwurf noch in der Konsultations- und Entwick- 
lungsphase. Weitere Informationen unter https://www.europarl.europa.eu/legislative-train/the 
me-a-europe-fit-for-the-digital-age/file-data-act. 

1348 Einsehbar unter https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX% 
3A52021PC0206. 

1349 Einsehbar unter https://www.statewatch.org/media/27 19/eu-council-dsa-compromise-chapter 
s-1-2-11459-21.pdf. 
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Datentreuhänder verstanden werden können.!>50 


„‚Dateninhaber‘ [ist] eine juri- 
stische Person, einschließlich öffentlicher Stellen und internationaler Organisa- 
tionen oder natürliche Person, die in Bezug auf die betreffenden Daten keine 
betroffene Person ist, welche nach geltendem Unionsrecht oder geltendem natio- 
nalen Recht berechtigt ist, Zugang zu bestimmten personenbezogenen Daten oder 
nicht personenbezogenen Daten zu gewähren oder diese Daten weiterzugeben“ — 
so Art. 2 Nr. 8 DGA. Die Intermediärsleistung einer Datentreuhand bezeichnet 
Art. 9 lit. a DGA als „Vermittlungsdienste zwischen Dateninhabern und potentiel- 
len Datennutzern [...]; zu diesen Diensten können auch der zwei- oder mehrseitige 
Austausch von Daten oder die Einrichtung von Plattformen oder Datenbanken, die 
den Austausch oder die gemeinsame Nutzung von Daten ermöglichen, sowie die 
Einrichtung anderer spezieller Infrastrukturen für die Vernetzung von Dateninha- 
bern mit Datennutzern gehören“. Unter Berücksichtigung des Datenschutzrechts 
wird so der Ansatz der Personal Information Management Systems auf europäi- 
scher Ebene realisiert. Darüber hinaus erwähnenswert ist die in Abschnitt IV des 
DGA ausgestaltete Form des sog. Datenaltruismus. Nach diesem Konzept soll 
auf Basis einer Einwilligung eine „freiwillige Datenbereitstellung durch Einzel- 


personen oder Unternehmen zum Wohl der Allgemeinheit“!?3! 


erfolgen. Neben 
Eintragungs- (Art. 17) und Transparenzerfordernissen (Art. 20) regelt der Ab- 
schnitt gem. Art. 21 auch „[b]esondere Anforderungen zum Schutz der Rechte 
und Interessen betroffener Personen und juristischer Personen im Hinblick auf 
ihre Daten“. Besonders zu berücksichtigen sind dabei die enge Zweckbindung 
(Art. 21 Abs. 1 und 2) sowie die Einholung eines jeweiligen willensbestätigenden 
Aktes — eine Einwilligung bei natürlichen Personen, eine Erlaubnis zur Verar- 
beitung bei juristischen Personen (Art. 19 Abs. 3). Unwissentlich reflektiert der 
Entwurf damit das im Rahmen dieser Arbeit dargestellte Interesse beider betrof- 
fener Parteien und legt unionsrechtlichen Grundstein für eine Wahrnehmung von 
Interessen für unternehmensbezogene digitale Identitäten. Ganz ähnliche Rege- 
lungen finden sich im Hinblick auf das Fernmeldegeheimnis in $ 1 Abs. 2 TTDSG 


1350 So auch Beise, RDi 2021, 597 (601 f). Anders Richter, ZEuP 2021, 634 (641 f): Datentreuhand 
als Untergruppe von Datenmittlern bzw. Daten-Intermediären. 
1351 DGA-E (Fn. 1328), S. 9. 
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bzw. § 91 Abs. 1S.2 TKG a.F., die jeweils „Einzelangaben über Verhältnisse einer 
bestimmten oder bestimmbaren juristischen Person oder Personengesellschaft“; 
sie „stehen personenbezogenen Daten gleich.“ 


Die datenschutzrechtlich geprägten Novellierungsvorhaben und Strategien kön- 
nen aus dargestellten Gründen zunächst wenig überzeugen. Allesamt weisen sie 
in die Richtung einer datengetrieben Gesellschaft und Wirtschaft, übersehen aber 
die dafür notwendige Berücksichtigung der Rechte und Freiheiten der Betrof- 
fenen in concreto. Unionsrechtlicher Lichtblick bleibt dabei Art. 21 DGA. Die 
notwendige begriffliche Klarstellung der Anonymisierung weiß soweit nur das 
Konsultationsverfahren des BfDI zu adressieren. 


2. IT-Sicherheitsgesetz 2.0: Zur Evolution des BSI 


Konträr ist sich der Novellierung technisch geprägter Korrekturvorhaben des Ge- 
setzgebers zu widmen, um die dargestellte technische Schutzrichtung der Grund- 
rechte zu reflektieren. Dazu wird die an das IT-Sicherheitsgesetz anknüpfende 
Gesetzgebung in Form des IT-Sicherheitsgesetzes 2.0 näher betrachtet, die im 
Frühjahr 2019'35? sowie 20203 in Entwurfsfassungen und als Kabinettsent- 


wurf! 354 


öffentlich zugänglich gemacht wurde und nunmehr seit 28.5.2021 in Kraft 
ist. Hauptaugenmerk dieser Untersuchung sind die aufgezeigten Forderungen zum 
Schutz des GGVIS, namentlich der Gewährleistung der IT- bzw. Systemsicherheit 
durch anwendungsbezogene Mindeststandards sowie ein entsprechendes Schutz- 


konzept gegen Sicherheitslücken in Hard- und Software. 


1352 Einsehbar unter https://netzpolitik.org/2019/it-sicherheitsgesetz-2-0-wir- veroeffentlichen-d 
en-entwurf-der-das-bsi-zur-hackerbehoerde-machen-soll/. 

1353 Einsehbar unter https://netzpolitik.org/2020/seehofer-will-bsi-zur-hackerbehoerde-ausbaue 
n/. 

1354 Einsehbar unter https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/Downlo 
ads/kabinettsfassung/it-sicherheitsgesetz.pdf?__blob=publicationFile&v=2. 
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Der aus dem Jahr 2019 einsehbare Entwurf (nachfolgend i.E. BSI-G-neu 2019 
und TMG-neu 2019) zielt auf die grundlegende Aufgabe des BSI ab, die Sicher- 
heit in der Informationstechnik zu fördern und zu sichern. Dabei fokussiert es 
sich sowohl auf eine verbraucherschützende wie proaktive Rolle bei der Unter- 
suchung von Sicherheitsvorfällen, die in Abwehrstrategien münden soll. „Dieses 
Gesetz dient daher dem Schutz der Gesellschaft, der Wirtschaft und des Staa- 
tes.“ Diese Aufgabe wird durch Gesetzesänderungen in TKG, TMG, StGB und 
StPO flankiert; es handelt sich wie schon beim „IT-Sicherheitsgesetz 1.0“ um 
ein Artikelgesetz. Konkret dienen die Änderungen des BSI-G der Erhöhung bzw. 
Ausdehnung des Aufsichtskreises des BSI, indem die etablierten Begriffe der Kri- 
tischen Infrastrukturen ($ 2 Abs. 10 BSI-G) und Digitale Dienste ($ 2 Abs. 11 
BSI-G) um sog. Infrastrukturen im besonderen öffentlichen Interesse gem. $ 2 
XIV BSI-G-neu 2019 erweitert werden. Hierzu sollen nun Infrastrukturen aus 


1355 sowie Dienste aus dem Bereich finanziel- 


dem Bereich Kultur und Medien 
ler Transaktionen mit entsprechender volkswirtschaftlicher Gefährdungslage im 
Falle eines IT-Sicherheitsvorfalls zählen. Entsprechend ihrer Relevanz für die 
Gesellschaft gelten für diese teilweise die gleichen Pflichten wie für Kritische 
Infrastukturen, so $ 8f BSI-G-neu 2019 mit entsprechenden Verweisen. Im Ein- 
zelfall kann das BSI auch bestimmte Diensteanbieter bzw. Betreiber von Anlagen 
seinem Aufsichtskreis hinzufügen, wenn für diesen das Kriterium der Cyber- 
kritikalität gem. $ 8g BSI-G-neu 2019 erfüllt ist. Darüber hinaus erweitert der 
Entwurf das Aufgabenportfolio um verbraucherschützende Aufgaben, beispiels- 
weise die unmittelbare Information von betroffenen Verbrauchern (vgl. $ 3 Abs. 1 
S. 1 Nr. 14, 14a und $$ 7, 7a BSI-G-neu 2019) und das Dasein als allgemeine 
Meldestelle für die Sicherheit in der Informationstechnik ($ 4b BSI-G-neu 2019). 
Darüber hinaus ermöglicht $ 9a BSI-G-neu 2019 die Einführung eines freiwil- 
ligen IT-Sicherheitszertifikats, das trotz einer Kontrollkompetenz des BSI nur 
geringen Druck auf die Gewährleistung der in der Herstellererklärung benann- 
ten technischen Eigenschaften ausübt. Hierzu trägt insbesondere der Hinweis 


1355 Hierunter versteht der Entwurf Akteure der „Pressefreiheit, der Berichterstattung und [der] Plu- 
ralität der Medien“ — so die Begründung des Entwurfes von 2019, sub Fn. 1352. Befürwortend 
im Vorfeld der Veröffentlichung Etteldorf, AfP 2018, 114 ff. 
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der Gesetzesbegründung bei, dass es sich nur um „die Möglichkeit (nicht die 
Pflicht)“ des BSI handelt. Darüber hinaus ist nicht nachvollziehbar, warum nicht 


1356 und auf eine im 


auf bestehende europäische Zertifizierungen zurückgegriffen 
Europäischen Binnenmarkt mit dem CE-Kennzeichen vergleichbare Harmonisie- 
rung hingewirkt wird. Auffallend ist, dass sich letztere auch auf den Schutz von 
Betriebs- und Geschäftsgeheimnissen erstreckt, was ein Gleichlaufen aus Grün- 
den der Rechtseinheit mit dem geltenden GeschGehG andeutet. Der Eindruck, 
dass hierin aber auch der Schutz der digitalen Identitäten juristischer Personen zu 
erkennen ist, wird durch Einfügung der $$ 99 Abs. 2 Nr. 1, 3 und 202f Abs. 5 


Nr. 1, 3 StGB im Rahmen des IT-Sicherheitsgesetzes 2.0 verstärkt. 


Eigentlicher Kern des Entwurfes sind aber weitreichende Berechtigungen zur 
Untersuchung fremder Systeme auf maliziöse Inhalte oder Handlungsweisen. So 
benennt der Entwurf konkret in $ 7b BSI-G-neu 2019: „Das Bundesamt kann 
zur Erfüllung seiner Aufgaben Maßnahmen zur Detektion und Auswertung von 
Schadprogrammen, Sicherheitslücken und anderen Sicherheitsrisiken in öffentlich 
erreichbaren informationstechnischen Systemen durchführen, wenn Tatsachen die 
Annahme rechtfertigen, dass diese ungeschützt sind und dadurch in ihrer Sicher- 
heit oder Funktionsfähigkeit gefährdet sein können. [...] Ein informationstech- 
nisches System ist ungeschützt [...], wenn öffentlich bekannte Sicherheitslücken 
bestehen oder wenn auf Grund offensichtlich unzureichender Sicherheitsvorkeh- 
rungen von unbefugten Dritten auf das System zugegriffen werden kann.“ Hierzu 
erläutert die Begründung: „Dies wäre zum Beispiel dann der Fall, wenn für ein 
System werkseitig stets ein identisches Passwort (‚0000° oder ‚admin‘) verge- 
ben würde oder wenn die werksseitige Vergabe der Passwörter nach einer öf- 
fentlich bekannten und einfachen Systematik erfolgte.“ In diesem Fall darf das 
BSI gem. $ 7b Abs. 4 BSI-G-neu 2019 „Systeme und Verfahren einsetzen, wel- 
che einem Angreifer einen erfolgreichen Angriff vortäuschen“ und auf Portscans 
oder Honeypot-Mechanismen zurückgreifen, also zT aktiv Anwendungen auf dem 
fremden System ausführen. Hier erscheint fraglich, ob auch ungeschützte Systeme 
iSd Norm dem grundrechtlichen Schutz des GGVIS unterliegen. Schließlich ist 


1356 Kipker/Scholz, DuD 2021, 40 (43). 


295 


E. Lückenhafter Schutz? — Zusammenfassung und Ausblick 


in dieser Art des Handelns ein staatlicher Eingriff zu sehen. Der Entwurf deu- 
tet mit der Eigenschaft der Schutzlosigkeit darauf hin, dass es sich um bewusst 
ungeschützte Systeme handelt. Dieser Gedanke wird jedoch ins Gegenteil ver- 
kehrt, wenn im Rahmen der Legaldefinition auf bekannte Sicherheitslücken oder 
offensichtlich unzureichende Sicherheitsvorkehrungen verwiesen wird. Zwar er- 
scheint dies konsequent, lassen mangelnde Schutzvorkehrungen auf ein fehlendes 
Vertrauen in die Integrität des Systems schließen und berücksichtigen die Recht- 
sprechung des Bundesverfassungsgerichts.'?°’ Der Grad der Offensichtlichkeit 
kann jedoch behördlich-subjektiv gefärbt sein, weil er die technische Kompetenz 
des Nutzers außer Acht lässt. Letzteres wird insbesondere durch eine fehlende 
(Legal-)Definition begünstigt.'??® Gerade in Bezug auf bekannte Sicherheitslü- 
cken erscheint fraglich, ob und wie diese durch den Nutzer zu beheben sind. Ist 
dies nicht möglich bzw. zumutbar, verschiebt sich der grundrechtliche Schutz man- 
gels ausreichender Kompetenz zulasten des Nutzers; ein Zugriff auf das System 
ist It. Norm zulässig. Dass selbige mangelnde Kompetenz allerdings dazu führen 
kann, dass unbewusst Opfer von Botnetzen gewordene Systeme einen staatlichen 
System-Zugriff ermöglichen, scheint nicht im Sinne des GGVIS. Diesbezüglich 
hätte mit der im Rahmen dieser Arbeit dargestellten, der Rechtsprechung des Bun- 


desverfassungsgerichts immanenten Terminologie!’ 


gearbeitet werden müssen, 
um die Abgrenzung zwischen Vertrauen und System abbilden zu können. In 
Anlehnung an die Rechtsprechung zur Online-Durchsuchung hätte es auch eines 
Richtervorbehalts!360 oder eines ähnlichen Mechanismus bedurft, welcher die Un- 
abhängigkeit bei der Einschätzung des Systems wahrt; auch eine Unabhängigkeit 
des BSI selbst wäre hier erwägenswert!?6!. Ebenso fehlt es an einer Benennung des 
Grundrechts in $ 11 BSI-G-neu 2019 zur Erfüllung des Zitiergebots gem. Art. 19 
Abs. 1 S. 2 GG. Der systembezogene Schutz wird folglich durch diesen Entwurf 


unterlaufen. Auf Datenebene scheint dagegen die Einfügung des $ 163g StPO 


1357 Hierzu ausführlich sub D.II.4. 

1358 Hierauf hinweisend Kipker/Scholz, DuD 2021, 40 (42). 

1359 Sub D.II.4. unter Verweis auf BVerfGE 120, 274 (313 ff). 

1360 BVerfGE 120, 274 (335). 

1361 Ebenso fordernd ; Kipker/Scholz, DuD 2021, 40 (44). Partiell ablehnend dagegen Schall- 
bruch, DuD 2021, 229 (231). 
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relevant, welcher den Zugriff auf und die Nutzung von Login-Daten bei Verdacht 
einer Straftat iSd $ 100g StPO gegen den Willen des Inhabers ermöglicht. Diese 
Verwendung der digitalen Identität erscheint jedoch aus Gründen öffentlichen 
Interesses gerechtfertigt. 


Der überarbeitete Entwurf vom 7.5.2020 (nachfolgend i.E. BSI-G-neu 2020 und 
TMG-neu 2020) enthält keine Änderungen und Einfügungen für StPO und StGB 
mehr und ist hinsichtlich des BSI-G und des TMG angepasst worden. Unter ande- 
rem wird der Bereich Medien und Kultur nicht mehr als Unternehmen in besonde- 
rem öffentlichem Interesse iSd $ 2 Abs. 14 BSI-G-neu 2019 geführt. Stattdessen 
umfasst dieser Unternehmen, „die aufgrund ihrer volkswirtschaftlichen Bedeu- 
tung und insbesondere ihrer erbrachten Wertschöpfung von besonderem öffentli- 
chen Interesse sind“. Wie diese Formulierung genau zu verstehen ist, erklärt auch 
die Gesetzesbegründung nicht; es wird lediglich auf die zu verabschiedende, Un- 
ternehmen benennende Rechtsverordnung verwiesen. Auch fehlt die Möglichkeit 
einer Erweiterung der kritischen Infrastrukturen um Fälle mit hoher Cyberkritik- 
alität; $ 8g BSI-G-neu 2019 wurde ersatzlos gestrichen. Erhalten geblieben sind 
die Informations- und Warnaufgabe, das freiwillige IT-Sicherheitskennzeichen 
sowie die Prüffähigkeit von IT-Soft- und Hardware zu Zwecken des Verbrau- 
cherschutzes. Das Telemediengesetz hat hingegen eine bedeutende Erweiterung 
hinsichtlich der Pflichten des Diensteanbieters gem. $ 13 TMG a.F. erfahren. 
Hier werden neben einer besonderen Pflicht für kritische Infrastrukturen in $ 13 
Abs. 7a TMG-neu-2019 und 2020 noch die Absätze 9 und 10 eingefügt. Absatz 
9 zielt auf die Sperrung von Nutzern bzw. Nutzerkonten ab, die unrechtmäßig er- 
langte personenbezogene Daten oder Datensätze aus Geschäftsgeheimnissen auf 
der Plattform des Diensteanbieters (widerrechtlich) veröffentlichen. Damit adres- 
siert der Entwurf aus 2020 — so auch die Begründung — die zahlreichen öffentlich 
zugänglichen Daten-Leaks. In Bezug auf Geschäftsgeheimnisse findet sich in Abs. 
X noch eine Erweiterung, indem für den Schutz der öffentlichen Sicherheit und 
Ordnung zuständige Stellen eine Sperrung der Daten anordnen können; perso- 
nenbezogene Datensätze sind hiervon nicht umfasst, sondern umfänglich in $ 15b 
TMG-neu 2019 bzw. 2020 geregelt. Dies mag in der Verpflichtungskette aus 
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Art. 33, 34 DSGVO begründet sein, die den Diensteanbieter bereits zur Informa- 
tion des Nutzers sowie Datenschutzbehörden und indirekt iVm den Grundsätzen 
des Art. 5 Abs. 1 DSGVO auch zu Schutzmaßnahmen zugunsten betroffener Per- 
sonen verpflichtet. Hier gibt es zwar It. Begründung des Entwurfes zwar keine 
Überlagerung, dennoch ein Gleichlaufen von Datenschutzrecht und Telemedien- 
gesetz. Die grundsätzlich dienstebezogene Ausrichtung des TMG wird durch die 
Einschränkung des $ 15b TMG-neu 2019 bzw. 2020 auf personenbezogene Daten- 
sätze gespiegelt, erweitert die Pflichten des Diensteanbieters allerdings lediglich 
um eine weitere Meldestelle. Nähere Dokumentations- und Nachsorgepflichten, 
wie sie Art. 33, 34 DSGVO vorsehen, enthält die Regelung nicht und umgeht so 
das Normwiederholungsverbot des Erwägungsgrundes 8 DSGVO bzw. Art. 288 
Abs. 3 AEUV weitestgehend. Dass die Norm allerdings das Leaken von personen- 
bezogenen Daten wie Betriebs- und Geschäftsgeheimnissen in der selben Norm 
regelt, deutet auf die ähnliche Gefährdungslage hin und bestätigt (erneut) das im 
Rahmen dieser Arbeit vorgebrachte Argument des Schutzes digitaler Identitäten 
juristischer Personen. 


Die erneut überarbeitete und letztlich umgesetzte Fassung vom 19.11.2020 ent- 
hält nur marginale Neuerungen, die auf die dargestellten Punkte kaum Einfluss 
haben.'?6? Bemerkenswert ist, dass die Änderungen des TMG im finalen Entwurf 
nunmehr vollständig gestrichen wurden; die Melde-Kaskade vor dem Hintergrund 
des geplanten $ 15b TMG-neu 2019 ist damit obsolet. Auch in der geltenden Fas- 
sung des TTDSG finden sich keine Hinweise auf derartige Meldevorgänge; die 
Regelung der technischen und organisatorischen Vorkehrungen des $ 19 TTDSG 
fängt dies nicht auf, sondern beschränkt sich auf die technischen Schwerpunkte 
des $ 13 Abs. 7 TMG a.F. 


1362 Der dritte Entwurf des IT-Sicherheitsgesetzes 2.0 einschließlich einer Kurzzusammenfassung 
von Kipker findet sich unter https://intrapol.org/2020/11/21/it-sig-2-O-dritter-referentenentwu 
rf-mit-stand- vom-19-11-2020-veroeffentlicht/ sowie unter https://www.bmi.bund.de/Shared 
Docs/gesetzgebungsverfahren/DE/Downloads/kabinettsfassungj/it-sicherheitsgesetz.pdf;jsess 
ionid=31938A3DC4DB3C427D01B29CE8179374.2_cid295? _blob=publicationFile&v=2. 
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In conclusio sind ansatzweise Bestrebungen zu einer Erweiterung des Schutzes 
digitaler Identitäten in IT-sicherheitsrechtlicher Hinsicht zu erkennen. Verbrau- 
cherschützende Aspekte können hier jedoch nur provisorisch wirken, bedarf es 
noch konkreter Pflichten aufseiten der Hersteller und Diensteanbieter. Diametral 
zu den befürwortenden Ansätzen zur Erhöhung der IT-Sicherheit wirken jedoch 
die Befugnisse des BSI zum aktiven (vermeintlichen) Schutz der Systeme. Die 
Möglichkeit der Überprüfung offener Systeme sowie etwaiger Zugriffsmöglich- 
keiten gegen und/oder ohne Willen oder Bewusstsein des Systeminhabers be- 
rücksichtigt nicht die fehlende Kenntnis zum Schutz eigener Systeme und setzt 
letztlich die vollumfängliche Umsetzung der Prinzipien „Data Protection by De- 
sign“ und „Data Protection by Default“ sowie einen informierten und update- 
bzw. upgradewilligen Nutzer voraus. Dies entspricht jedoch nicht der Realität. 
Beispielsweise können Hardware-Sicherheitslücken nur durch einen Austausch 
der Hardware selbst gelöst werden, die jedoch nicht jedem Bürger bzw. jeder Bür- 
gerin jederzeit finanziell oder anderweitig möglich ist. Folglich handelt es sich um 
eine potentielle Eingriffsgrundlage einer breiten Masse an Systemen, die entgegen 
der möglichen Eingriffstiefe in gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG geschützte 
Systeme nicht in $ 11 der BSI-G-Neufassung aufgeführt ist. Damit bestehen ver- 
fassungsrechtliche Bedenken gegenüber den Entwürfen aus 2019 und 2020 sowie 
der finalen Umsetzung des $$ 7b, 11 BSI-G. 


Für die weitere Umformung des nationalen IT-Sicherheitsrechts — und damit 
auch der Rolle des BSI - ist abschließend noch ein Blick auf die Cybersicher- 
heitsstrategie 2021136 der (ehemaligen) Bundesregierung sowie den Entwurf der 
NIS2-Richtlinie'6* zu werfen. 


Strategisch konzentriert sich die (ehemalige) Bundesregierung auf die Förderung 
der IT-Sicherheit von staatlichen Institutionen, Wirtschaft und Gesellschaft. Neu 
ist allerdings die sowohl in der Zielrichtung als auch in einzelnen Zielen konkrete 


1363 Einsehbar unter https://www.bmi.bund.de/SharedDocs/downloads/DE/ 
veroeffentlichungen/2021/09/cybersicherheitsstrategie-2021.pdf;jsessionid 
=AF7B435DBA70B 115EBACE34C2047B87F.2_cid295? _blob=publicationFile&v=1. 

1364 Einsehbar unter https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=COM:2020:823:FIN. 
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Benennung der Forschung als zu berücksichtigender Bereich. Während bislang 
die Forschung nur als wichtige Quelle für neue Entwicklungen und Lösungen 
gesehen wurde, wird sie nun konkret in die Umsetzung der Ziele einbezogen. 
Im Kern bewegt sich die Strategie aber dennoch nicht vom bisherigen Modus 
weg: Förderung der IT-Sicherheit durch Aufklärung, Information und Angebote 
— vor allem zu Zwecken des Verbraucherschutzes; Fördern und Verteidigen der 
nationalen wie internationalen Position (z.B. durch BSI) als Weltspitze der IT- 
Sicherheit; Zusammenarbeit der Bundesbehörden vor allem im Ermittlungs- und 
Strafverfolgungsbereich unter der Linie des BMI; Schutz kritischer Infrastruktu- 
ren; Anpassung bestehender Gesetze und Entwurf neuer Gesetze zur Reflexion des 
IT-Sicherheitsniveaus; Berücksichtigung neuer Techniken wie KI, elektronischer/- 
digitaler Identitäten und Authentifizierungsmechanismen. Dabei unberücksichtigt 
bleibt auch der zum Zeitpunkt der Veröffentlichung der Cybersicherheitsstrategie 
(konkret: 8.9.2021) der am 16.12.2020 veröffentlichte Entwurf der NIS2-RL. 
Erwähnenswerte Eckpunkte des Entwurfes sind zunächst die Überarbeitung der 
Terminologie und die Verzahnung der Europäischen und mitgliedsstaatlichen IT- 
Sicherheitsstrategie in der Tiefe. Ersteres bezieht sich auf die Auflösung des Be- 
griffes „Digitale Dienste“, wie er zuvor in $ 2 Abs. 11 BSI-G übernommen wurde. 
Die Richtlinie sowie Umsetzung soll nun anhand des Merkmals der Kritikalität 
(so ErwGr 11 NIS2-RL-E) eine Unterscheidung zwischen „essential entities“ und 
„important entities“ vornehmen, wobei besagte Digitale Dienste nun in den ‚„im- 
portant entities“ aufgehen. Zu bemerken ist hier auch, dass im Hintergrund auch 
diese Dienste um Soziale Netzwerke erweitert worden sind, dem Entwurf nach 
also als „important entities“ ebenfalls IT-sicherheitsrechtlichen Pflichten unter- 
liegen. Die Verzahnung soll weiter durch mehrere Maßnahmen gelingen. Zum 
einen soll jeder Mitgliedsstaat zum Zweck der Mindestharmonisierung (Art. 3 
NIS2-RL-E) eine nationale Cybersicherheits-Strategie vorweisen können, die den 
Mindestgehalt des Art. 5 Abs. 1 des Entwurfes berücksichtigt. 


Unter anderem wird die ENISA, unter Rückgriff auf die Ziele der EU-Cyber- 
sicherheitsstrategie, mit weiteren Aufgaben im Rahmen der sog. Coordinated 
Vulnerability Disclosure (nachfolgend CVD) betraut, parallel zu der nationalen 
Aufgabe einer entsprechenden Meldestelle. Hier sollen die Mitgliedsstaaten eine 
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(bestehende oder neue) Stelle vorsehen, die entsprechende IT-Sicherheitslücken 
sammelt, gemeinsam mit der ENISA in einem Verzeichnis und mit entsprechen- 
den Mindestangaben (Umfang und Risiko des Exploits, mögliche Patches, etc.) 
vorhält. Diesem Aspekt wird das BSI-G in all seinen Entwürfen sowie der ak- 
tuellen Fassung allerdings nicht gerecht. Nicht nur ist die begriffliche Auflösung 
nicht vorbereitet oder erwähnt worden; auch lässt das Gesetz keine Ansätze einer 
CVD erkennen. Mit gutem Willen lässt sich dieser Aspekt in die Aufgabe der all- 
gemeinen Meldestelle gem. $ 4 Abs. 1 BSI-G hineinlesen; diese deckt schließlich 
„Informationen über Sicherheitsrisiken in der Informationstechnik“ ab. Dennoch 
fehlt es dann an einer konkreten Handlungsgrundlage zum Vermitteln zwischen 
meldender Einrichtung und betroffenem Unternehmen iSd Art. 6 NIS2-RL-E; 
die europäische Mindestharmonisierung gem. Art. 3 NIS2-RL-E würde unter- 
laufen. Dabei lässt sich auch zweifeln, ob es sich beim BSI und der derzeitigen 
Ausgestaltung um eine hinreichend vertrauenswürdige vermittelnde Stelle han- 
delt. Die bereits erwähnte mangelnde Unabhängigkeit des Bundesministeriums 
sowie die Weisungsbefugnis des BMI gegenüber dem BSI lassen vermuten, dass 
bei bestimmten IT-Sicherheitslücken keine interessenausgleichende Position ein- 
genommen wird. Vielmehr könnte das Bundesministerium als Sammelstelle für 
IT-Sicherheitslücken diese zum Zwecke der eigenen oder fremden Ermittlungs- 
tätigkeit zweckentfremden; eine gesetzliche Maßgabe gibt es hiergegen nicht. 
Lediglich dem in dieser Arbeit dargelegten Verständnis der Schutzpflicht des 
GGVIS widerspricht eine solche Verwendung. Dieser Schluss findet auch in der 
Rechtsprechung des BVerfG Halt, das bei fehlender gesetzlicher Implementie- 
rung eines IT-Sicherheitslücken-Managements eine Schutzpflichtverletzung an- 
nimmt! 365, Damit drängt sich sowohl aus der Schutzpflichtenerfüllung als auch aus 
dem Umsetzungsauftrag der kommenden NIS2-RL der gesetzgeberische Auftrag 
auf, die Meldung und Schließung von IT-Sicherheitslücken in einer unabhängigen 
Institution zu verankern. Besonders zu berücksichtigen sind dabei die Interessen 
der IT-Sicherheitsforschung, für das Auffinden und Melden nicht vonseiten der 


1365 BVerfG ZD 2021, 685 (686, Rn. 30 ff) sowie bestätigt in Nichtannahmebeschluss vom 
20.1.2022, Az. 1 BvR 1552/19, Rn. 19 f. 
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Hersteller belangt zu werden.'?°° Dem hat sich die (neue) Bundesregierung im 


Koalitionsvertrag!3°7 


scheinbar angenommen, denn „[d]as Identifizieren, Melden 
und Schließen von Sicherheitslücken in einem verantwortlichen Verfahren, z.B. in 
der IT-Sicherheitsforschung, soll legal durchführbar sein.“!3°8 Dementsprechend 
würde „[d]ie Cybersicherheitsstrategie und das IT-Sicherheitsrecht [...] weiterent- 
wickelt.“!369 Sollte dies nicht im Rahmen der Umsetzung des NIS2-RL-E erreicht 
werden, ist sich der Forderung einer Gewährleistung des einheitlichen Sicherheits- 
niveaus qua „europäischer IT-Sicherheits-Grundverordnung“ von Hackenjos et al. 


anzuschließen. !370 


3. Das Registermodernisierungsgesetz und die 
einheitliche Identifikationsnummer 


Im Jahr 2020 manifestierte sich darüber hinaus ein Paradebeispiel der im Rah- 
men dieser Arbeit dargestellten digitalen Identität: Aufbauend auf der Einführung 
der Steuer-Identifikationsnummer im Jahr 2007 soll nun ebendiese als Grund- 
lage für eine einheitliche (Bürger-)Identifikationsnummer für öffentliche Stellen 
übernommen werden. Der am 23.09.2020 veröffentlichte und zum 15.7.2021 um- 
gesetzte Entwurf des Registermodernisierungsgesetz'’! baut damit die in $ 139b 
AO geregelte Identifikationsnummer als Referenz auf einen Basisdatensatz für 
behördliche Angelegenheiten aus, um die Digitalisierung der Verwaltung durch 
das Onlinezugangsgesetz (OZG) zu vereinfachen und entsprechenden Mängeln 
durch unterschiedliche Datenstrukturen in den verschiedenen Behörden „,(z.B. 


1366 Hierzu ausführlich das Whitepaper der inter- und intradiszipinären Initiative zur Schaffung eines 
rechtssicheren Rahmens für die IT-Sicherheitsforschung (kurz: sec4research) unter Beteiligung 
des Autors — Balaban etal., Whitepaper zur Rechtslage der IT-Sicherheitsforschung — sowie 
der dazugehörige Forderungskatalog unter https://sec4research.de/assets/Forderungen.pdf. 

1367 Einsehbar unter https://www.spd.de/fileadmin/Dokumente/Koalitionsvertrag/Koalitionsvertra 
g_2021-2025.pdf. 

1368 Koalitionsvertrag 2021-2025 (Fn. 1367), S. 16. 

1369 Koalitionsvertrag 2021-2025 (Fn. 1367), S. 16. 

1370 Siehe Hackenjos/Mechler/Rill, DuD 2018, 286 (288 ff). 

1371 Abrufbar unter https://www.bmi.bund.de/SharedDocs/gesetzgebungsverfahren/DE/registermo 
dernisierungsgesetz.html — nachfolgend als RegModG-E bezeichnet. 
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Transkriptionsfehler, Namensverwechslungen, unterschiedliche Aktualisierungs- 
frequenzen, unterschiedliche fachliche Anforderungen)“ entgegenzuwirken!?”?. 
„Dies lässt sich nur durch ein registerübergreifendes Identitätsmanagement mit 
einem eindeutigen und veränderungsfesten Ordnungsmerkmal (Identifikations- 


nummer) vermeiden.‘“!373 


Als gesetzliche Grundlage für die Identifikationsnummer dient das durch den Reg- 
ModG-E in Art. 1 formulierte Identifikationsnummerngesetz (IDNrG). Danach 
soll besagte Identifikationsnummer des $ 139b AO als zusätzliches Ordnungs- 
merkmal zum Zweck der Zuordnung (Nr. 1), zur Verbesserung der Datenqualität 
(Nr. 2) und Daten(satz)minimierung bei öffentlichen Stellen (Nr. 3) eingeführt 
werden, $ 1 IDNrG. Dementsprechend verpflichtet $ 2 IDNrG sämtliche öf- 
fentliche Stellen des Bundes und der Länder zur Umsetzung, definiert den zu 
speichernden Datensatz in $ 4 Abs. 2 IDNrG sowie entsprechende Erhebungs- 
und Verarbeitungszwecke in $ 5 und 6 IDNrG. Auffällig ist hier jedoch, dass die 
Datenübermittlung nicht schlicht durch einen zentralen Datenspeicher erfolgt. Im 
Fall einer Datenabfrage oder sonstigen Datenkommunikation zwischen zwei öf- 
fentlichen Stellen erfolgt der Zugriff erst durch Erteilung einer Berechtigung durch 
eine sog. Vermittlungsstelle. Bereichsspezifisch soll diese gem. $ 7 Abs. 2 IDNrG 
gebildet werden und mittels verschlüsselter Kommunikation als Zwischenstelle 
für Abfragen fungieren. Die Verantwortung für die jeweilige Verarbeitungstätig- 
keit übernimmt dann wieder jede einzelne abrufende Stelle, $ 8 Abs. 1 IDNrG. In 
Bezug auf das erwähnte Onlinezugangsgesetz erfolgt eng verzahnt mit dem IDNrG 
das Angebot eines „Datencockpits“, in dem sich „natürliche Personen Auskünfte 
über Datenübermittlungen zwischen öffentlichen Stellen anzeigen lassen kön- 
nen“, $ 9 OZG-E. Insgesamt greift der Entwurf damit das dänische Modell!?7* 
der einmaligen Informationsangabe zur Vereinfachung des Verwaltungsverfahrens 
(„Once Only“) auf.!37> 


1372 Siehe RegModG-E (Fn. 1371), S. 1. Vertiefend auch Nationaler Normenkontrollrat, Stellung- 
nahme zum Registermodernisierungsgesetz, S. 12. 

1373 Siehe RegModG-E (Fn. 1371), S. 1. 

1374 Hierzu Nationaler Normenkontrollrat, Mehr Leistung für Bürger und Unternehmen: Verwal- 
tung digitalisieren. Register modernisieren., S. 30 f. 

1375 RegModG-E (Fn. 1371), S. 35, 38. 
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Konkret dient die in dieser Form ausgestaltete Identifikationsnummer dann als 
„Schlüssel zu gehaltvollen Informationen über eine Person. Und nicht nur ir- 
gendein Schlüssel, sondern der Generalschlüssel. Anhand von Personenkennzif- 
fern können umfassende Persönlichkeitsprofile erstellt werden.“!37° Der Grund- 
gedanke des RegModG greift folglich das im Rahmen der Volkszählungsentschei- 


1377 


dung des Bundesverfassungsgerichts und schon 1969 mit der Mikrozensus- 


Entscheidung! ?7® 


gezeichnete Bild einer Identitätsdaten-Infrastruktur auf, das in 
der verfassungsgerichtlichen Rechtsprechung fortwährend abgelehnt wurde. So 
statuiert das Bundesverfassungsgericht ausdrücklich: ,„[E]ine unbeschränkte Ver- 
knüpfung der erhobenen Daten mit den bei den Verwaltungsbehörden vorhan- 
denen, zum Teil sehr sensitiven Datenbeständen oder gar die Erschließung ei- 
nes derartigen Datenverbundes durch ein einheitliches Personenkennzeichen oder 
sonstiges Ordnungsmerkmal [...] [ist nicht mit der Verfassung vereinbar]; denn 
eine umfassende Registrierung und Katalogisierung der Persönlichkeit durch die 
Zusammenführung einzelner Lebensdaten und Personaldaten zur Erstellung von 
Persönlichkeitsprofilen der Bürger ist auch in der Anonymität statistischer Er- 
hebungen unzulässig“'?’?. Rückblickend auf das 2017 veröffentlichte Gutachten 
des Nationalen Normenkontrollrates zur Verfassungsmäßigkeit einer einheitlichen 


1380 


Identifikationsnummer'””" und die darin erwähnte Untersuchung der Deutschen 


Universität für Verwaltungswissenschaften in Speyer'?®'! 


1382 


sowie jüngere kritische 
Stimmen ”°* in Bezug auf das RegModG bleiben dementsprechend Zweifel an der 


Vereinbarkeit mit dem Grundrecht auf informationelle Selbstbestimmung gem. 


1376 So von Lewinski im Interview mit Beck-aktuell vom 10.11.2020, abrufbar unter https://rsw.be 
ck.de/aktuell/daily/magazin/detail/einheitsnummer-fuer-jeden-buerger. 

1377 BVerfGE 65, 1 (53). 

1378 BVerfGE 27, 1 (6). 

1379 BVerfGE 65, 1 (53). 

1380 Nationaler Normenkontrollrat, Mehr Leistung für Bürger und Unternehmen: Verwaltung digi- 
talisieren. Register modernisieren., S. 40 ff 

1381 MartinilWagner/Wenzel, Rechtliche Grenzen einer Personen- bzw. Unternehmenskennziffer in 
staatlichen Registern. 

1382 Sorge/Leicht, ZRP 2020, 242 (243 f), Deutscher Anwaltverein, Stellungnahme zum Gesetz- 
entwurf der Bundesregierung zur Einführung einer Identifikationsnummer in die öffentliche 
Verwaltung und zur Änderung weiterer Gesetze, S. 5 ff; Gesellschaft für Informatik, Stellung- 
nahme zum Registermodernisierungsgesetz, S. 2 ff; Nationaler Normenkontrollrat, Stellung- 
nahme zum Registermodernisierungsgesetz, S. 8 ff. 
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Art. 2 Abs. 1 iVm 1 Abs. 1 GG. Neben allgemeinen Bedenken ausgehend von der 
verfassungsgerichtlichen Rechtsprechung'°®? bestehen erhebliche Bedenken hin- 
sichtlich der eingriffsabschwächenden technischen und organisatorischen Maß- 
nahmen. Eine Umsetzung unter einen Rückgriff auf geeignete und effektive Mittel 


wird grundlegend bezweifelt! ?°* 


t1385 


und bestehende Ansätze des RegModG scheinen 
veralte , insbesondere mit Blick auf europäische Alternativmodelle. Wieder- 
holt wird hier auf das dezentrale Modell der bereichsspezifischen Personenkenn- 


ziffer in Österreich referenziert!?8° 


, welches mit der Nutzung von Hashwerten in 
Verbindung mit bereichsspezifischen Kürzeln!?®’ durchaus zu überzeugen weiß. 
Gelegentlich wird auch die bestehende Funktion der eID bzw. des elektroni- 
schen Personalausweises zum Widerruf bereichsspezifischer Kennzeichen bzw. 
Pseudonyme (sog. Restricted Identification — kurz rID) erwähnt!°®8, jedoch nicht 
vertieft. Vonseiten des Normenkontrollrates, welcher die im Regierungsentwurf 
aufgezeigten Gründe gegen ein Übernehmen des Modells!?8? bestätigt! ?”, wird 
hiergegen vorwiegend der hohe Zeit und Kostenaufwand angeführt; überdies sei 


das deutsche Modell in technischer Hinsicht überzeugender'”. 


Abseits dieser Kritikpunkte weisen sämtliche Stimmen — zutreffend — darauf 
hin, dass sich das Bundesverfassungsgericht sich dem Ansatz einer einheitlichen 


1383 Deutscher Anwaltverein, Stellungnahme zum Gesetzentwurf der Bundesregierung zur Ein- 
führung einer Identifikationsnummer in die öffentliche Verwaltung und zur Änderung weiterer 
Gesetze, S. 6; Gesellschaft für Informatik, Stellungnahme zum Registermodernisierungsgesetz, 
S. 2. Vgl. auch MartinilWagner/Wenzel, Rechtliche Grenzen einer Personen- bzw. Unterneh- 
menskennziffer in staatlichen Registern, S. 61 ff. 

1384 Gesellschaft für Informatik, Stellungnahme zum Registermodernisierungsgesetz, S. 3. 

1385 Sorge/Leicht, ZRP 2020, 242 (243). 

1386 Sorge/Leicht, ZRP 2020, 242 (243); Martini/Wagner/Wenzel, Rechtliche Grenzen einer 
Personen- bzw. Unternehmenskennziffer in staatlichen Registern, S. 62 f, 36 ff, Gesellschaft 
‚für Informatik, Stellungnahme zum Registermodernisierungsgesetz, S. 4. 

1387 Hierzu Sorge/Leicht, ZRP 2020, 242 (243). Weitere europäische Alternativmodelle prüfend 
Nationaler Normenkontrollrat, Mehr Leistung für Bürger und Unternehmen: Verwaltung digi- 
talisieren. Register modernisieren., S. 26 ff. 

1388 So Gesellschaft für Informatik, Stellungnahme zum Registermodernisierungsgesetz, S. 4; Sorge/ 
Leicht, ZRP 2020, 242 (243). 

1389 Begründung des RegModG-E (Fn. 1371), S. 2/3, 38 £. 

1390 Nationaler Normenkontrollrat, Stellungnahme zum Registermodernisierungsgesetz, S. 13 f. 

1391 Nationaler Normenkontrollrat, Stellungnahme zum Registermodernisierungsgesetz, S. 13. 
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Identifikations- oder Personenkennziffer nicht grundlegend verschließt. Bei Lichte 
besehen gibt das Volkszählungsurteil durchaus Hinweise einer verfassungskon- 
formen Umsetzung und Verwendung eines einheitlichen Identifikationsmerkmals. 
Unter Rückgriff auf die im Rahmen dieser Arbeit dargestellten in Art. 2 Abs. 1 


1392 


iVm 1 Abs. 1 GG inkorporierten Datenschutzgrundsätze weist das Bundes- 


verfassungsgericht auf eine enge Zweckbindung für die Erfüllung öffentlicher 


1393 


Aufgaben hin und fordert geeignete technische und organisatorische Maß- 


nahmen zum Schutz der erhobenen Daten, beispielsweise eine frühe faktische 


Anonymisierung'?”* 


oder ein räumlich-technisches Abschotten der Systeme zur 
Erhöhung des Vertrauens in die (staatliche) Datenverarbeitung'”5. Während das 
Vorhaben der Volkszählung nach Ansicht des Gerichts auch ohne Personenbezug 
erreichbar ist!?%, erscheint das Vorhaben des RegModG zur Minimierung des 
Verarbeitungs- und Kostenaufwands plausibel. Dies entbindet den Gesetzgeber 
allerdings nicht von der Berücksichtigung verfassungsrechtlicher Grundsätze wie 
den Grundsatz der Verhältnismäßigkeit aus Art. 20 Abs. 3 GG. Insofern müssen 
zunächst weniger invasive Mittel zur Zweckerreichung berücksichtigt werden, be- 
vor sich einer umfassenden Abwägung der widerstreitenden Interessen gewidmet 
werden kann. 


Hinsichtlich der Zweckerreichung — der Digitalisierung der Verwaltung ein- 
schließlich einer Fehler- und Kostenminimierung - erscheint die durch das Reg- 
ModG durchaus geeignet. Dennoch muss das mildeste, aber in gleichem Maß 
geeignete Mittel hierfür gewählt werden. Wie erwähnt führt die Literatur hier ein- 
heitlich das österreichische Modell der bereichsspezifischen Personenkennziffer 
an, dessen Prüfung an dieser Stelle nicht vertieft werden soll; für entsprechende 
Zweifel an der Erforderlichkeit mag die breite Rezeption ausreichen. 


1392 Sub D.1.1.b)aa). 

1393 BVerfGE 65, 1 (45, 47 f). 
1394 BVerfGE 65, 1 (49/50). 
1395 BVerfGE 65, 1 (49, 50). 
1396 BVerfGE 65, 1 (49). 
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Bestätigen sich diese Zweifel nicht, bliebe es am Gesetzgeber eine Verhältnismä- 
Bigkeit des Vorhabens im engeren Sinne vorweisen zu können. Hierbei sind ins- 
besondere verfassungsgerichtlich herausgehobene Datenschutzgrundsätze in den 
Blick zu nehmen.'??’ Der Gesetzentwurf des RegModG bleibt eine entsprechende 
Begründung schuldig und beschränkt sich auf die Gründe der Kosteneinsparung 
und die Minimierung bzw. Vereinfachung des Aufwands bei der Umsetzung des 
OZG. „Ein registerübergreifendes Identitätsmanagement kann zudem Grundla- 
ge für einen im Aufwand und Kosten verminderten Zensus sein und damit die 
Bürgerinnen und Bürger von bislang erforderlichen Befragungen entlasten und 


Bürokratie abbauen.“ 1398 


Dahinter verbergen sich vor allem Aspekte der Verein- 
fachung der Teilhabe an staatlichen Leistungen (Sozialstaatsprinzip, Art. 20 Abs. 1 
GG) und der Grundsatz der Wirtschaftlichkeit und Sparsamkeit (vgl. $ 7 BHO). 
Das Vorhalten der Basisdaten weist allerdings wegen seiner aggregierten und zen- 
tralen Speicherung eine hohe Eingriffstiefe auf. Rein pragmatische Erwägungen 
mögen daher nicht ausreichen, um die dadurch entstehenden Gefahren auszuglei- 
chen. Vielmehr bedarf es — wie durch das Bundesverfassungsgericht gefordert — 
entsprechender eingriffsminimierender Maßnahmen: Die Grundlage der Identi- 
tätsnummer, das IDNrG, begrenzt in $ 1 den Nutzungszweck expressis verbis auf 
das Verwaltungsverfahren und den Erhalt der Datenqualität — also die Richtigkeit 
und Aktualität der Daten. Insoweit genügt das RegModG dem verfassungsgericht- 
lichen Erfordernis eines engen und klaren Zwecks; auch sind die Institutionen 
durch die Verarbeitungssituationen der $$ 5-7 IDN1rG hieran gebunden. Dass eine 
nachträgliche Änderung des Zwecks und damit ein Überwachungsszenario'?”? 
möglich ist, kann mit Blick auf eine dann notwendige verfassungsrechtliche Ver- 
einbarkeit des Änderungsgesetzes dahingestellt bleiben. Risikomindernd kommt 


das RegModG dem verfassungsgerichtlichen Transparenzerfordernis nach, indem 


1397 Diese Prüfstruktur etablierend BVerfG, Beschluss v. 27.05.2020 — Az. 1 BvR 1873/13 —, Rn. 
127 ff. 

1398 RegModG-E (Fn. 1371), S. 35. 

1399 Derartige Befürchtungen äußernd Gesellschaft für Informatik, Stellungnahme zum Register- 
modernisierungsgesetz, S. 5. 
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das Datencockpit eine Übersicht über die jeweiligen Datenabrufe einzelner öf- 
fentlicher Stellen bietet.'* Weiter führt das RegModG die Datenminimierung 
an, weil die partikularen behördlichen Datenspeicher sodann an einem Ort ge- 
speichert werden sollen und folglich weniger Daten verarbeitet und angesammelt 
werden.!*! Richtiger ist hier jedoch der Terminus der Datensatzminimierung, 
da eben nur die jeweiligen Infrastrukturen wegfallen. Es kann sich schon nicht 
um eine Datenminimierung nach datenschutzrechtlichem Verständnis handeln, 
da diese eine andere Zielrichtung verfolgt: Nicht nur sollen weniger Daten ge- 
speichert, sondern auch erhoben oder auf andere Weise verarbeitet werden iSe 
Datensparsamkeit.'*% Der im Entwurf festgehaltene, ehrbare Ansatz versteht das 
datenschutzrechtliche Gebot damit grundlegend falsch. Würde der Aspekt der 
Datenminimierung tatsächlich berücksichtigt, fände eine dezentrale Speicherung, 
eine bereichsspezifische Personenkennziffer und eine darauf aufbauende bereichs- 
spezifische Speicherung von personenbezogenen Daten größere Berücksichtigung 
im Regierungsentwurf. Zwar würden auf diese Weise quantitativ mehr personen- 
bezogene Daten erhoben. Durch eine dezentrale Speicherung wäre das Risiko im 
Fall eines Datenleaks jedoch geringer, mit entsprechender Verschlüsselung durch 
Hash-Algorithmen und Speicherung bereichsspezifisch relevanter Merkmale - al- 
so einer Reduktion des Umfangs — sinkt das Niveau weiter. Insofern fände der 
Grundsatz der Datenminimierung zumindest bereichsspezifisch, auf behördlicher 
Ebene, Anklang. Ungeachtet dessen geht der Regierungsentwurf des RegModG 
nicht auf die Notwendigkeit der einzelnen, für die Identitätsnummer in $ 4 Abs. 2 
IDNTG ein und begründet das zur Zweckerreichung notwendige Maß.!*® Den 
einzelnen Datenschutz-Grundsätzen als eingriffsminimierende Maximen genügt 
das RegModG damit nicht in allen Punkten. 


1400 Dies stellt insoweit auch die Begründung des RegMod-E (Fn. 1371) heraus, S. 36. 

1401 So RegMod-E (Fn. 1371), S. 1: „Außerdem widerspricht eine redundante Datenhaltung dem 
Gebot der Datenminimierung.“ 

1402 Vgl. nur BVerfGE 65, 1 (46) sowie Roßnagel in: Simitis/Hornung/Spiecker gen. Döh- 
mann, DSGVO/BDSG, Art. 5, Rn. 123, 127. 

1403 Der Entwurf verweist lediglich auf den vorhandenen Datenbestand gem. $ 139b AO - siehe 
RegMod-E (Fn. 1371), S. 59. 
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Weiter münden die einzelnen Prinzipien in einer Abwägung kollidierender ver- 
fassungsrechtlicher Interessen. So bleibt zu fragen, ob sich die staatlichen In- 
teressen mit der Maxime des Art. 2 Abs. 1 iVm 1 Abs. 1 GG vereinbaren las- 
sen, also die Allgemeininteressen gegenüber dem Grundrecht auf informationelle 
Selbstbestimmung überwiegen. Als solche ist die informationelle Privatautono- 
mie als Schutzgut des Grundrechts auf informationelle Selbstbestimmung zu be- 
greifen.!*%* Der Grundrechtsträger muss sich also auch einer Datenverarbeitung 
entziehen können; ein Zwang zur Datenabgabe kann nur innerhalb enger Gren- 
zen erfolgen. Nur so wird ein entsprechend tiefgreifender Eingriff dem Schutz des 
grundrechtlichen Kerns gerecht. Vorliegend lässt sich, wie dargelegt, schon an den 
Eingriffsschranken und der Milderung der Eingriffstiefe zweifeln. Hinzu kommt 
aber die mit Erstellung des Profils und der Identifikationsnummer entzogene Kon- 
trolle über die personenbezogenen Daten selbst. Es ist dem Betroffenen, abgesehen 
von einer Datenänderung zugunsten der Aktualität und Richtigkeit, nicht möglich, 
auf den Datensatz einzuwirken. In seiner Unausweichlichkeit kommt dem Reg- 
ModG bzw. IDNrG damit eine Zwangswirkung zu, die zwar die Digitalisierung 
der Verwaltungsprozesse und damit dem Allgemeininteresse dient. Dennoch ist 
fraglich, ob und inwieweit dies — erneut ganz im Lichte der Datenminimierung 
und Zweckausrichtung — zu ebenjener Digitalisierung notwendig ist. Schließlich 
könnte eine Entlastung der Bürgerinnen und Bürger auch auf andere Weise als 
die Digitalisierung der Prozesse erreicht werden. Auch könnte die Nutzung der 
Identitätsnummer oder damit verbundener digitalisierter Verwaltungsprozesse der 
Bürgerin bzw. dem Bürger überlassen werden. Der Entwurf deutet dies selbst an 
und sieht die Übermittlung der Daten zwischen staatlichen Institutionen nur auf 
Basis einer Einwilligung.!*95 Die Regelungen des $$ 6, 7 IDNrG lassen diese 
Äußerung jedoch obsolet erscheinen, wo die Erfüllung öffentlicher (gesetzlicher) 
Aufgaben doch einen eigenen Rechtfertigungsgrund gem. Art. 6 Abs. 1 lit. e, 
Abs. 3 DSGVO iVm entsprechenden Vorschriften des IDNrG darstellt. Ohne eine 
Berücksichtigung dieser kritischen Reduktion digitalisierter Verwaltungsprozesse 
auf das Nötigste oder die echte Berücksichtigung der Einwilligung der Betroffenen 


1404 Sub D.1.1.b)aa)(3). Auch BVerfGE 65, 1 (42). 
1405 So RegMod-E (Fn. 1371), S. 35. 
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über die erstmalige Datenspeicherung kann der Regierungsentwurf des RegModG 
folglich auch in der Tiefe nicht überzeugen. 


Das Registermodernisierungsgesetz stellt damit schon in seiner Entwurfsfassung 
eine Herausforderung für den verfassungsrechtlichen Schutz der digitalen Iden- 
tität dar. Die aufgrund der erst aufkommenden wissenschaftlichen Diskussion 
nur oberflächliche Darstellung zeigt die Schwierigkeit einer verfassungskonfor- 
men Konstruktion eines staatlichen Identitätsmanagements. Jedoch bleibt ange- 
sichts verfassungsgerichtlicher Kriterien nicht vor dem Ansatz zurückzuschre- 
cken, sondern das vorgelegte Modell kritisch im Blick zu behalten. Ob sich das 
Unterfangen als effektiver Schutz der digitalen Identität erweist, hängt von der 
weiteren Entwicklung des nunmehr umgesetzten Regierungsentwurfes in punc- 
to technischer und organisatorischer Maßnahmen zum Schutz der vorgesehe- 
nen Kommunikations- und Speicherstruktur von Registermodernisierungsbehör- 
de, Vermittlungsstelle und sonstigen öffentlichen Stellen ab. 


4. Die Charta der digitalen Grundrechte 


Den aufgezeigten einfachgesetzlichen Änderungen und Vorhaben bleibt nunmehr 
eine Anpassung des Verfassungsrechts gegenüberzustellen. Diese Bestrebung 
stammt jedoch nicht aus der Mitte des Bundestages, sondern ist gesellschaftli- 
cher Natur: Die Charta der digitalen Grundrechte ist auf Initiative von Bürge- 
rinnen und Bürgern entstanden und „am 5.12.2016 dem Europäischen Parlament 
in Brüssel und der Öffentlichkeit zur weiteren Diskussion“ vorgelegt worden. !*06 
Weitere Vorschläge und Kritikpunkte wurden dann in einer neuen Version am 
25.4.2018 der Öffentlichkeit zugänglich gemacht. '*” Eine umfangreiche, rechts- 


wissenschaftliche Diskussion blieb aus. 148 


1406 Siehe https://digitalcharta.ew/hintergrund/. 
1407 Einsehbar unter https://digitalcharta.eu. 
1408 Jüngeren Datums lediglich Golla, DÖV 2019, 673 (677 ff). 
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Im Folgenden soll diese Initiative daraufhin überprüft werden, ob sie zu einem 
besseren Schutz der digitalen Identität führt und die Verfassung um fehlende, 
aber notwendige Aspekte erweitert. Dabei sei sich auf die vornehmlich persönlich- 
keitsrechtlichen Artikel der digitalen Grundrechte-Charta von 2018 (nachfolgend: 
dGrC) beschränkt. 


Die Präambel der dGrC zeigt die generelle Zielstellung auf. Sie wurde verfasst „im 
Bewusstsein, dass die Gestaltung der digitalen Welt auch eine europäische Aufga- 
be sein muss, damit es im europäischen Verbund gelingt, Freiheit, Gerechtigkeit 
und Solidarität im 21. Jahrhundert zu erhalten [...]“. Grundrechte und der digi- 
tale Wandel sollen ineinandergreifen, den Wandel aktiv reflektieren. Auffallend 
ist, dass die dGrC „in Anerkennung der Allgemeinen Erklärung der Menschen- 
rechte, der Europäischen Menschenrechtskonvention, der Charta der Grundrechte 
der Europäischen Union [und] der Grundrechts- und Datenschutzstandards der 
Europäischen Union und ihrer Mitgliedsstaaten“, was die dGrC als gleichrangi- 
ges Werk einordnen lässt. Sie ist demnach nicht bestrebt, eine Änderung oder 
Erweiterung der bestehenden EU-Grundrechtecharta herbeiführen zu wollen. 


Die anschließenden Artikel der dGrC priorisieren die Würde des Menschen — 
wohl im Vorbild an GG und GrC - qua Benennung an erster Stelle, erweitert 
um den Schutz vor technischen Entwicklungen. Dies ist schon verwunderlich, ist 
die aktuelle Fassung von GrC (und auch GG) technikneutral, sodass es besagten 
Nachsatzes schon nicht bedarf. Die dynamische Auslegung der Grundrechte zeigt 
damit keine Notwendigkeit der Digital-Charta in diesem Punkt. 


Artikel 2 der dGrC soll scheinbar das Subsidiaritätsverhältnis des Art. 2 Abs. 1 
GG, aber auch des Art. 6 GrC, aufgreifen und ein digitales Auffanggrundrecht 
manifestieren. Danach hat jeder „ein Recht auf freie Information und Kommuni- 
kation.“ Hierin münden die Informations- und Kommunikationsfreiheit des Art. 5 
Abs. 1 S. 1 GG, Art. 11 Abs. 1 GrC. Auch diese Grundrechte sind technikneutral 
anzuwenden; überdies ist das kodifizierte „persönliche Recht auf Nichtwissen“ 
bereits im status negativus der bestehenden Grundrechte aufgefangen. Eine da- 
hingehende Notwendigkeit einer Umformulierung ist auch hier nicht zu sehen. 
Weshalb die Kommunikation sodann in Art. 4 dGrC durch ein Grundrecht auf 
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digitale Meinungsfreiheit konkretisiert bzw. gedoppelt wird ist nicht nachvollzieh- 
bar. Auch inwiefern Art. 1 und 2 dGrC zueinander stehen, ob diese in Verbindung 
ein digitales Persönlichkeitsrecht bilden und dadurch besondere Gefahrenlagen 
des digitalen Alltags reflektieren, ist nicht ersichtlich. Ein Immaterialgüterrecht 
ist zwar vorgesehen (Art. 16 dGrC), bezieht sich allerdings vielmehr auf urhe- 
berrechtliche bzw. wirtschaftliche Interessen. Entsprechende Bezüge können also 
auch nicht hieraus gewonnen werden. 


Der Artikel 5 dGrC steht im Zeichen der künstlichen Intelligenz und fordert gem. 
Abs. 2: „Automatisierte Entscheidungen müssen von natürlichen und juristischen 
Personen verantwortet werden.“, verstärkt die Benennung des Menschen als Ent- 
scheidungstäger bzgl. Leben, körperliche Unversehrtheit und Freiheitsentzug in 
Abs. 5. In beiden Fällen sollen „[e]thisch-normative Prinzipien“ maßgeblich sein. 
Dass Eingriffe in Grundrechte nur von Menschen getroffen werden können — so 
statuiert Abs. 1 - ist vor dem Hintergrund der Gewalten und Bundesorgane, dem 
bestehenden Wahlsystem und exemplarisch der Bindungswirkung der Verfassung 
für diese Entscheidungsträger gem. Art. 1 Abs. 3, 20 Abs.2 GG nur logisch. 
Um hoheitliche automatisierte Entscheidungen zu ermöglichen bedürfe es zahl- 
reicher Anpassungen, allein durch eine Änderung des $ 15 BWahlG. Darüber 
hinaus schließt das Menschenbild des Grundgesetzes diese Art der Lebensform 
aus.!*% Ein Schutz der digitalen Identität kann daher nur daraus folgen, dass 
die automatisierte Verarbeitung personenbezogener Daten zu Profilen ebenfalls 
ethisch-normativen Prinzipien unterliegt. Dies ist aber mit den Bestrebungen der 


Datenethikkommission!*!0 


und der durch GG und GrC vorgegebenen Normen- 
und Wertordnung bereits gegeben, sodass ein Hinwirken hierauf qua dGrC nicht 


sinnvoll erscheint. 


In Artikel 7 und 8 dGrC widmet sich das Werk einer Reflexion des Grundrechts 
auf informationelle Selbstbestimmung und dem GGVIS. So statuiert Art. 7 Abs. 3 


1409 Vgl. sub B.IV.1. 

1410 Exemplarisch hierzu das Gutachten der Datenethikkommission, siehe https: 
//www.bmjv.de/SharedDocs/Downloads/DE/Themen/Fokusthemen/Gutachten_DEK_DE. 
pdf? __blob=publicationFile&v=5. 
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„Rechte auf Löschung, Berichtigung, Widerspruch, Information und Auskunft“ 
und Abs. 4 das „Recht auf digitalen Neuanfang“. Beide sind nunmehr umfassend 
durch Vorschriften der DSGVO einfachgesetzlich festgehalten und ohnehin Teil 
der verfassungsgerichtlichen Rechtsprechung bzw. der informationellen Selbstbe- 
stimmung des Art. 2 Abs. 1 iVm 1 Abs. 1 GG!*!!. Auch benennt Art. 7 Abs. 5 den 
Schutz der Privatsphäre innerhalb von Wohnungen - also Art. 13 Abs. 1 GG und 
Art. 7, 8 GrC - und aktiven Schutz der Kommunikation - also Art. 10 Abs. 1 GG 
und Art. 7,8 GrC. Damit greift die Digital-Charta erneut nur bestehende Grund- 
sätze auf, entwickelt sie aber nicht neu. Dies spiegelt sich auch in Art. 8 dGrC 
wieder, welcher die „Unversehrtheit, Vertraulichkeit und Integrität informations- 
technischer Systeme und Infrastrukturen“ schützt. Er benennt im Wortlaut auch 
die gewährleistende Aufgabe des Staates. Die Definition des Grundrechts ent- 
spricht jedoch dem erläuterten Systemschutz des GGVIS'*!? gem. Art. 2 Abs. 1 
iVm 1 Abs. 1 GG, auch in seiner gewährleistenden Aufgabe. Damit ergibt sich 
auch hier keine Differenz zwischen GG, GrC und Digital-Charta. 


Schlussendlich muss sich mangels signifikanter Abweichung nicht eines neuen, 
innovativen Schutzniveaus zugunsten digitaler Identitäten bedient werden. Das 
Schutzniveau der dGrC entspricht bereits geltenden (unions-)verfassungsrecht- 
lichen Grundsätzen und -rechten, sodass die Bestrebungen der Charta der digitalen 
Grundrechte weder praktikabel noch wertvoll erscheinen. Ein weiteres Gesetzes- 
werk mit speziellen Grundrechten ignoriert die bestehende Grundrechtsdogmatik 
und führt zu einer horizontalen und vertikalen Zweigleisigkeit. Diese ist jedoch 
inhaltlich eingleisig, weil es sich um selbige Grundrechte in neuer Anordnung 
oder Formulierung handelt. Es handelt sich also nicht um eine „echte“ Korrektur- 
bestrebung, die den bestehenden Grundrechtsschutz inhaltlich oder systematisch 


1411 So nach der hier vertretenen Auffassung, sub D.II.3.. Im Fall von personenbezogenen Berich- 
ten als Teil von Kommunikationsprozessen dem Allgemeinen Persönlichkeitsrecht zuordnend 
BVerfG, Beschluss vom 6.11.2019 — Az. 1 BvR 16/13 - Rn. 105 ff = K&R 2020, 51 (54 f). 

1412 Sub D.IL3. 
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erweitert. Mit den Worten von Golla: „[D]as Projekt Digitalcharta insgesamt 


erscheint in seiner aktuellen Form nur noch wenig aussichtsreich.‘“'*!3 


5. Zusammenfassung der Korrekturansätze 


Insgesamt betrachtet, finden sich in den Korrekturansätzen nur punktuell zu be- 
fürwortende Maßnahmen, die die im Rahmen der Untersuchung herausgearbei- 
teten verfassungsrechtlichen Schutzrichtungen einfachgesetzlich abbilden. Allen 
Ansätzen gemein ist die breite Adressierung an personenbezogene wie nicht- 
personenbezogene Datensätze. Jedoch ebenso sehen alle Vorhaben keine konkre- 
ten Maßnahmen oder Ansätze vor, diese Begriffe durch gesetzliche Regelungen 
oder untergesetzliche Maßnahmen voneinander zu trennen und so Rechtsklar- 
heit für Unternehmen oder Wissenschaft und Forschung zu schaffen. Vielmehr 
beschränken sich die Vorhaben national wie auf europäischer Ebene auf die Ein- 
richtung eines Datenmarktes. Diesen auf einer bis dato ungeklärten Sachlage für 
die mit den Märkten zu erreichenden Kräfte einzurichten erscheint überaus ge- 
wagt. Ähnlich fraglich wirkt der Ansatz, das BSI durch ein IT-Sicherheitsgesetz 
2.0 mit Zugriffsbefugnissen auf ungeschützte Systeme auszustatten, ohne das ver- 
fassungsrechtliche Zitiergebot gem. Art. 19 Abs. 1 S. 2 GG oder verfassungsge- 
richtliche Vorgaben zu berücksichtigen. Die beabsichtigte verbraucherschützende 
Ausrichtung des Ministeriums vermag nicht die mangelnde Unabhängigkeit oder 
fehlende Mindeststandards zum Schutz auch nicht-technikaffiner Bürgerinnen und 
Bürger ausgleichen. Die überdies geplante Einführung einer einheitlichen Identi- 
fikationsnummer ergänzt diese Schattenseiten der Vorhaben, wenn das Vorhaben 
aufgrund seiner technische wie organisatorisch fragwürdigen Umsetzung nicht 
mit den Grundsätzen der Volkszählungsentscheidung des BVerfG in Einklang 
steht. Auch wenn es sich dabei um staatlich eingeführte digitale Identitäten han- 
delt, weißt der gesetzliche Rahmen bislang keinen hinreichenden Schutz auf. Die 


1413 Golla, DÖV 2019, 673 (681); ähnlich bereits Engeler zur Version von 2016 im Telemedicus- 
Blog unter https://www.telemedicus.info/article/3154-Unstable-Der-Digitalcharta-fehlt-ihr 
-Datenschutz-Fundament.html. 
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dargestellten Korrekturansätze de lege ferenda halten damit — soweit ersichtlich — 
eher Gefährdung als effektiven Schutz der digitalen Identität bereit. 


IV. Postremo: Die Zukunft der digitalen 
Identität 


Der verfassungsrechtliche Boden, durch den die digitale Identität gesichert ist, 
scheint vor dem Hintergrund einfachgesetzlicher Korrekturvorhaben ins Wanken 
zu geraten. Es scheint ungewiss, ob entsprechende klärungsbedürftige Punkte 
berücksichtigt werden und darüber hinaus eine effektive Gewährleistung im Rah- 
men der Datenstrategien eintritt. Schon in dieser Hinsicht bleibt die begriffliche 
Klärung zwischen Anonymität und Pseudonymität inter- und intradisziplinär zu 
diskutieren, auch wiederholt in den Diskurs einzubringen. Unbeständig bleibt 
ebenso das Schutzniveau in technischer Hinsicht für Jedermann, da trotz daten- 
schutzrechtlicher Prinzipien ein technischer Datenschutz von finanziellem Leis- 
tungsvermögen (z.B. Apple-Geräte mit eingebautem T2-Sicherheitschip für die 
sog. Secure Enclave!*!*) oder Technikkenntnissen (z.B. eigene Implementierung 
von Open-Source-Lösungen) abhängt. Diese Beobachtung läuft dem Schutzsys- 
tem des Art. 2 Abs. 1 iVm 1 Abs. 1 GG zuwider und erschwert eine technische 
wie informationelle Selbstbestimmung über die eigene digitale Identität. 


Exemplarisch für diese Erschwernis können die Ereignisse um den Coronavirus 
COVID-19 in den Blick genommen werden: Zur Durchbrechung der Infektions- 
ketten sollte eine Applikation für Mobiltelefone entwickelt werden, die auf dem 
Bluetooth-Low-Energy-Standard aufsetzt und nicht-personenbezogene Schlüssel- 
ketten als sog. Beacon versendet. Wiederum zeichnet das Gerät selbst die erhal- 
tenen Ketten auf und bildet — wenn auch nicht auflösbar — ein Abbild über die 


1414 Siehe hierzu nur https://support.apple.com/de-de/HT208862. 
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Kontakte mit anderen Menschen, !*!5 


also eine digitale Identität auf Basis sozia- 
ler Kontakte. Vermieden werden sollte aber eine Speicherung personenbezogener 
Daten, da das Datum der Infektion mit dem Virus ein gesellschaftlich bedeu- 
tendes wie rechtlich besonderes personenbezogenes Datum darstellt. Wann es 
sich jedoch nicht mehr um ein personenbezogenes Datum handelt, wurde un- 
terschiedlich aufgefasst; auch wurde in der Berichterstattung Pseudonymisierung 
mit Anonymisierung und anonymen Daten stets vermischt.!*!6 Die fehlende ter- 
minologische Klarstellung führte so zu mangelndem Vertrauen in die eingangs 
erläuterte, rechtskonforme Variante der Applikation sowie auf wissenschaftlicher 
Ebene zu Ungewissheit.'*!7 Mit Blick auf die Bluetooth-Schnittstelle bleibt zu 
bedenken, dass diese nur mit Bluetooth 4.0 kompatiblen Chips möglich ist. Ältere 
Geräte unterstützen die Anwendung folglich nicht; Menschen mit nicht kompa- 
tiblen Geräten oder gar ohne Smartphone sind „technisch abgeschnitten“. Damit 
kann die Anwendung auch nicht in der breiten Masse verwendet oder gar hier- 
zu verpflichtet werden. Die Pandemie offenbart folglich die bereits im Rahmen 
dieser Arbeit herausgearbeiteten Kulminationspunkte: Fehlende terminolgische 
Klarstellung, keine einheitlichen oder offene Standards oder eine entsprechen- 
de Verbreitung dieser zwecks Interoperabilität, und eine rechtliche Regulierung 
der Verwendung dieser Daten durch Private. Schließlich könnte die Anwendung 
ohne eine entsprechende Regelung zur unkontrollierbaren Zugangsschranke für 
lebenswichtige Güter wie Nahrungsmittel werden. 


Die Zukunft der digitalen Identität ist damit keine ruhige, sondern eine turbulente 
und spannende. Sie bleibt weiterhin Forschungs-, Diskussions-, Legislativ- und 


1415 Zur Funktionsweise im Detail siehe https://github.com/DP-3T/documents/blob/master/DP3T% 
20White%20Paper.pdf. 

1416 Vgl. hierzu die Berichterstattung um die erhobenen Daten der COVID-19-Applikation des 
Robert-Koch-Instituts, z.B. bei t3n (https://t3n.de/news/uebersicht-so-funktionieren-drei-c 
orona-apps-datenspende-rki-pepp-pt-1272238/), Deutschlandfunk Nova (https://www.deutsc 
hlandfunknova.de/beitrag/ccc-kritisiert-rki-app-datenspende-app-ist-zu-freigiebig) anonym 
und nach Tagesschau (https://www.tagesschau.de/inland/app-rki-101.html) und Webseite des 
Robert-Koch-Instituts pseudonym (https://corona-datenspende.de/faq/). 

1417 Hierzu ausführlich die Erhebung im Rahmen des Forschungsprojekts PANDIA: Meyer/ 
Fröhlich/von Holdt, Corona-Warn-App - Erste Ergebnisse einer Online-Umfrage zur (Nicht- 
)Nutzung und Gebrauch, 27 f. 
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Schutzgegenstand. Diese Arbeit schließt daher mit dem abgewandelten Zitat zu 
Beginn dieser Arbeit: 


Die digitale Identität ist nicht nur ein Hype. 
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Die nachfolgenden Thesen fassen diese wissenschaftliche Arbeit zusammen und 


heben die eigenen Forschungsergebnisse der Untersuchung hervor. 


1. 


Digitale Identitäten sind miteinander verknüpfte Daten (dann: Teilidenti- 
tät) oder Datensätze (dann: Gesamtidentität), die sich durch ihren hohen 
Aussagegehalt in ihrer aggregierten Form auszeichnen. Meistens sind sie 
mit einer Kennung bzw. einem Identifier versehen, können aber auch selbst 
als solches fungieren (dann: Quasi-Identifier). 


. Inihrem Aussagegehalt bilden sie Teile und Wesenszüge der analogen Iden- 


tität ab, können aber ebenfalls fiktive Züge oder Charaktere widerspiegeln. 
Letztere Variante kann aber einem eigenständigen Schutz unterliegen, wenn 
diese sich als Alter Ego in Form einer virtuellen Identität ohne Bezug zum 
Persönlichkeitskern konkretisieren. 


. Sowohl natürliche als auch juristische Personen des Privatrechts iSd Art. 19 


Abs. 3 GG können über digitale Identitäten verfügen. 


. Der Begriff der digitalen Identität ist nicht kongruent mit dem (datenschutz- 


rechtlichen) Konstrukt des Persönlichkeitsprofils, da sich dieses ausschließ- 
lich auf natürliche Personen erstreckt. Ebenso deckt es nicht das Spektrum 
an Datentypen sowie den Datenlebenszyklus ab. 


. Der in der Literatur gelegentlich verwendete Begriff der virtuellen Identität, 


also die wiederholte und konsistente Repräsentation einer Person im digi- 
talen Raum, geht in der Definition der digitalen Identität auf; vielmehr ist 
eine digitale Identität „virtuell“, wenn digitale und analoge Persönlichkeit 
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voneinander losgelöst sind, z.B. mangels Personenbezug oder Persönlich- 
keitskern. 


. Die digitale Identität richtet sich am Lebenszyklus von Daten sowie den ein- 


zelnen Lebensabschnitten des Menschen aus; sie bildet auch die pränatale 
wie postmortale Phase ab. 


. Das Verfassungsrecht schützt pränatale Aspekte der digitalen Identität, je- 


doch zunächst mittelbar als Teil des elterlichen Erziehungsrechts gem. Art. 6 
Abs. 2 GG. Hinzu tritt ein Schutz der pränatalen Persönlichkeit (z.B. in 
Form von Ultraschall-Bildern) gem. Art. 1 Abs. 1 GG als Vorwirkung des 
später erwachsenden Persönlichkeitsrechts. 


. Postmortale Aspekte der digitalen Identität schützt die Verfassung über 


eine prämortale Reflexwirkung des Grundrechts auf informationelle Selbst- 
bestimmung gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG. Weiter besteht für 
Datenhüllen oder -reste Verstorbener ein postmortales Datenschutzrecht, 
das ebenfalls in Art. 2 Abs. 1 iVm 1 Abs. 1 GG verankert ist. 


. Digitale Identitäten juristischer Personen des Privatrechts bilden die Cor- 


porate Identity eines Unternehmens im digitalen Raum ab. Ein Schutz 
erfolgt hier ebenfalls über die Dauer eines Datenlebenszyklus gem. Art. 19 
Abs. 3 GG iVm dem spezifischen, im Einzelfall wesensmäßig anwendbaren 
Grundrecht. 


Öffentlich-rechtliche juristische Personen können zwar über digitale Iden- 
titäten verfügen. Allerdings finden sich keine geeigneten Schutzkonzepte 
im Rahmen des Art. 19 Abs. 3 GG; sowohl die grundrechtliche Gefähr- 
dungslage oder die Durchgriffsthese lassen sich nicht erfolgreich anwenden. 
Insofern besteht rechtliche Ungewissheit. 


Künstliche digitale Identitäten — deren Identität sich rein aus einem Quell- 
code speist oder die im Fall künstlicher Intelligenzen generiert wird — sind 
nicht mit bestehenden verfassungsrechtlichen Schutzkonzepten vereinbar. 
Weder Aspekte der Menschenwürde des Art. 1 Abs. 1 GG noch jene des 
Art. 19 Abs. 3 GG sind übertragbar. Auch die mangelnde Kontrolle über 
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13. 


14. 


diese Identitäten führt nicht dazu, dass der Tierschutz des Art. 20a GG 
übertragbar ist. Der Ansatz der ePerson vermag hieran nichts zu ändern. 


Schon die übergeordneten Schutzkonzepte der verfassungsrechtlichen Grund- 
rechte — status negativus, status positivus und Schutzpflichten-Dogmatik 
— kommen dem Schutz der digitalen Identität zugute. Sie unterstützen in 
ihrer heutigen Ausformung ein dynamisches Verständnis der Verfassung 
und ermöglichen im Einzelfall Möglichkeiten der Abwehr und Teilhabe am 
digitalen Leben mittels digitaler Identitäten. 


Das Grundrecht auf informationelle Selbstbestimmung schützt die digita- 
le Identität natürlicher Personen in den einzelnen Facetten. Es erstreckt 
sich über das gesamte Spektrum an Datentypen, also auf anonyme und 
anonymisierte, pseudonyme und pseudonymisierte sowie unmittelbare In- 
formationen bzw. personenbezogene Daten. Anonyme bzw. anonymisierte 
Datensätze sind aufgrund ihres Restrisikos und der damit verbundenen 
Gewährleistung des aus der Anonymität erwachsenden Schutzes mit in 
den Schutzbereich aufzunehmen und der genuine, fließende Übergang zwi- 
schen den Arten in der Prüfung der Verhältnismäßigkeit im engeren Sinne 
zu berücksichtigen. Als Leitlinie kann hier das etablierte Prüfungsmuster 
der Sphärentheorie des Allgemeinen Persönlichkeitsrechts übernommen 
werden: Je näher der informationelle Gehalt der digitalen Identität der 
Menschenwürde ist, desto schützenswürdiger ist das Interesse des Grund- 
rechtsträgers und desto höher ist es zu gewichten. 


Ein besonderer Schwerpunkt im Schutz der digitalen Identität 
durch das Grundrecht auf informationelle Selbstbestimmung liegt in der Va- 
riante des Schattenprofils. Beispielsweise entsteht diese Variante durch den 
(kombinierten) Einsatz von Browser-Fingerprinting, Cookie-Analyse und 
weiteren Formen des Webtrackings. Wegen seines Anknüpfungspunktes in 
der Unkenntnis des Inhabers der digitalen Identität und der darauf basie- 
renden weitreichenden Aussagekraft aggregierter Datensätze und Verhal- 
tensanalyse über Webseiten hinweg entsteht ein Abbild der Persönlichkeit, 
also eine besonders schutzwürdige digitale Identität. 
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Nicht stets dem verfassungsrechtlichen Schutz unterliegen synthetisierte 
Datensätze aufgrund ihres mangelnden Persönlichkeitskerns. Ist durch die 
Angreifbarkeit der Synthetisierung allerdings eine Auflösbarkeit möglich, 
gilt das zu anonymisierten Datensätzen Gesagte. Ein eigenständiger Schutz 
iSe Alter Ego - z.B. durch das Urheberrecht und das Eigentumsgrundrecht 
des Art. 14 Abs. 1 GG - bleibt hiervon unberührt. 


Die digitale Identität natürlicher Personen findet keinen Schutz in der Ge- 
stalt eines Dateneigentums über den Eigentumsschutz des Art. 14 Abs. 1 
GG. Die unter dem Stichwort des Dateneigentums geführte Diskussion 
verfehlt den eigentlichen Kern der Debatte, das Schutzgut der Datensouve- 
ränität als Kulminationspunkt des Grundrechts auf informationelle Selbst- 
bestimmung gem. Art. 2 Abs. 1 iVm 1 Abs. 1 GG. Der Ansatz eines 
Eigentums an personenbezogenen Daten ist grundlegend abzulehnen; für 
nicht-personenbezogene (Maschinen-)Daten besteht eine Prärogative des 
Gesetzgebers. 


Eine postmortale Schutzrichtung in Form des digitalen Nachlasses ist in 
eine vermögensrechtliche Komponente des Art. 14 Abs. 1 GG sowie ei- 
ne persönlichkeitsrechtliche bzw. datenschutzrechtliche Komponente des 
Art. 2 Abs. 1 iVm 1 Abs. 1 GG aufzugliedern. Ersteres bedarf mit Blick auf 
die Diskussion um $ 2047 Abs. 2 und $ 2373 S.2 BGB einer erbrechtlichen 
Klarstellung durch die Gesetzgebung. Informationell ist dagegen (erneut) 
auf die Leitlinie der Sphärentheorie zurückzugreifen, um eine Einschät- 
zung von persönlichen Accounts vorzunehmen zu können. Beispielsweise 
könnte so zwischen öffentlich zugänglichen Inhalten und privaten oder inti- 
men Teilen des Dienstes (z.B. Messenger) differenziert werden. Im Übrigen 
sollte die prämortale Reflexwirkung des postmortalen Daseins der digitalen 
Identität in der Gesetzgebung stärker berücksichtigt werden, um einer Zer- 
splitterung der Umsetzung etwaiger Nachlass-Modi in Sozialen Netzwerken 
vorzubeugen. 
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Eine mögliche Schutzrichtung kann sich bei entsprechender Ausgestaltung 
aus der Berufsfreiheit des Art. 12 Abs. 1 GG ergeben, wenn die digitale Iden- 
tität natürlicher Personen im Beschäftigtenkontext Teil der Arbeitsleistung 
wird. Die dafür notwendigen Grundlagen müssen die unternehmerischen 
Interessen der Art. 12 Abs. 1, 14 Abs. 1 GG mit den kollidierenden Inter- 
essen von Beschäftigten aus Art. 2 Abs. 1 iVm 1 Abs. 1 GG entsprechend 
in Einklang gebracht werden. 


. Die digitale Identität juristischer Personen des Privatrechts iSv Art. 19 


Abs. 3 GG findet ihren Schutz ausgehend von einem Unternehmensper- 
sönlichkeitsrecht. Verfassungsrechtlich ist dieses reflektiert in einem Trias 
aus Art. 14 Abs. 1 (vermögensrechtliche Aspekte, insbes. Recht am ein- 
gerichteten und ausgeübten Gewerbebetrieb), 12 Abs. 1 (Aspekte einer 
unternehmerischen Handlungsfreiheit, z.B. in der Außendarstellung) und 
2 Abs. 1 (persönlichkeitsrechtliche bzw. privatautonome Aspekte — ohne 
Bezüge zu Art. 1 Abs. 1 GG) des Grundgesetzes. Die digitale Identität 
entsprechender juristischer Personen ist in informationeller Hinsicht aller- 
dings nur mittelbar über die Aspekte aus Art. 14 Abs. 1 und 12 Abs. 1 GG 
geschützt. Artikel 2 Abs. 1 GG fängt als subsidiäres Unternehmensrecht 
dagegen die (digitale) Geschäftsehre und etwaige neuartige Gefahrenlagen 
des Online-Diskurses auf. Letztlich fungiert Art. 2 Abs. 1 GG damit als 
Bindeglied zwischen Art. 12 Abs. 1 und 14 Abs. 1 GG. 


In technischer Hinsicht deckt das Verfassungsrecht den Schutz digitaler 
Identitäten vornehmlich durch die beiden Grundrechte des Art. 2 Abs. 1 
iVm 1 Abs. 1 GG - namentlich das Grundrecht auf informationelle Selbst- 
bestimmung sowie das Grundrecht auf Gewährleistung der Vertraulichkeit 
und Integrität informationstechnischer Systeme (kurz: GGV IS) - ab. Beide 
Grundrechte wirken zusammen und ergänzen einander in Form der Schutz- 
richtung der Datensicherheit (dann Teil des Grundrechts auf informationelle 
Selbstbestimmung) und der Systemsicherheit (dann GGVIS). Die Datensi- 
cherheit ist dabei nur ein flankierendes Element, das die Möglichkeit der 
Autonomie über die eigenen personenbezogenen Daten technisch unter- 
stützt. Die Systemsicherheit bildet dagegen die Integrität des technischen 


323 


Thesen der Arbeit 


21. 


22. 


324 


Korpus ab, aus der sich ein Vertrauen in das System als solches speist 
— definiert sich jedoch weiter als der dem GGVIS eigene Fokus auf po- 
tentiell persönlichkeitsbezogene IT-Systeme. Ein bloß mittelbarer Schutz 
ergibt sich aus der Vertraulichkeit der fernmeldetechnischen Kommunika- 
tion (z.B. von Identitätsdatensätzen) gem. Art. 10 Abs. 1 Var. 3 GG. Kaum 
von Relevanz ist der Schutzumfang des Art. 13 Abs. 1 GG, da dieser nur 
die räumlich umgrenzte Privatheit der Kommunikation berücksichtigt. 


Die einfachen Gesetze decken den Schutz digitaler Identitäten natürli- 
cher Personen sowie juristischer Personen des Privatrechts de lege lata 
nur partiell ab. Offen bleiben eine Begriffsklärung hinsichtlich anonymer 
bzw. anonymisierter Daten sowie eine Vereinheitlichung der IT-Sicherheits- 
Standards zugunsten des Verbraucherschutzes. Diese muss sich aber sowohl 
auf Systeme mit wie ohne Persönlichkeitsbezug erstrecken, um letztere nicht 
als Einfalltore in private, vernetzte Endgeräte umzufunktionieren. Insge- 
samt besteht also entsprechender legislativer Spielraum, der angesichts der 
grundrechtsgewährleistenden Aufgabe qua Schutzpflichten auszufüllen ist. 


Die datenstrategischen Vorhaben der EU sowie Bundesregierung deuten 
eine Fokussierung auf die Nutzung und Kommerzialisierung digitaler Iden- 
titäten und persönlichkeitsbezogener Datensätze an. Die europäische Stra- 
tegie setzt daher einen deutlich wirtschaftlichen Schwerpunkt und fokus- 
siert sich auf die Interoperabilität und Zugänglichmachung personenbe- 
zogener Daten. Erste Ansätze zeigen sich jedoch in der breiten Offensive 
der EU Ende 2020 durch Digital Services Act, Digital Markets Act und 
den Data Governance Act. Gerade letzterer benennt das Vorhaben einer 
Datentreuhand-Stelle sowie die aktive Förderung von Plattformen zur Ver- 
waltung persönlicher Informationen bzw. Daten (sog. personal informati- 
on management systems, kurz PIMS). Hierauf aufbauend plant auch die 
Bundesregierung nunmehr die Förderung von Forschung in diesem Be- 
reich, allerdings keine weiteren Gesetzesvorhaben. Höchstens in der Ver- 
mittlungsstelle des Registermodernisierungsgesetzes kann eine solche Da- 
tentreuhand gesehen werden. Dieser infrastrukturelle Ansatz wird jedoch 
durch das Kernstück, die einheitliche Identifikationsnummer, in Rekurs auf 
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die Volkszählungsentscheidung des BVerfG in seiner verfassungsrechtlich- 
en Konformität untergraben. Die datenschutzrechtlichen Vorhaben deuten 
also auch einen Schutz de lege ferenda an, wenngleich dieser hinsichtlich 
des Registermodernisierungsgesetzes mit Kritischem Blick zu verfolgen ist. 


Aus der Richtung des IT-Sicherheitsrechts existieren zwar relevante Vorha- 
ben, die jedoch einen ambivalenten Schutz der digitalen Identität in tech- 
nischer Hinsicht erahnen lassen. Ambivalent, weil das IT-Sicherheitsgesetz 
2.0 in der Kabinettsfassung mit einem freiwilligen IT-Sicherheitskennzeichen 
und dem BSI als allgemeine Meldestelle für IT-Sicherheitsvorfälle durchaus 
einen schützenden Charakter ausstrahlt. Dem wirken jedoch Eingriffsbe- 
fugnisse auf potentiell maliziöse IT-Systeme entgegen. Auch die weiterhin 
fehlende Unabhängigkeit der Behörde lässt die Meldestellen-Eigenschaft 
nur minder positiv wirken, wo die Nähe zum Bundesministerium des Innern 
eine Verbindung von IT-Sicherheits-Schwachstellen und dem Ministerium 
unterstellten Ermittlungsbehörden entsprechendes Misstrauen weckt. Ein 
Schutz der digitalen Identität de lege ferenda ist damit kaum ersichtlich. 
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